一文了解 24 年香港虛擬資產託管服務提供商（TCSP）最新申請政策

撰文：Aiying

在香港，隨著虛擬資產服務提供商（VASP）牌照制度的推出，交易所服務首次對零售投資者開放，標誌著香港在虛擬資產領域的一大進步。這一新制度不僅吸引了眾多平臺和機構競相申請，也引入了更為嚴格的合規要求，以確保投資者的資產得到妥善保護。特別是，香港證券及期貨事務監察委員會（SFC）要求交易所通過全資擁有的附屬公司，以信託方式持有客戶的款項和虛擬資產，這意味著交易所需要同時持有 VASP 牌照和 TCSP（Trust or Company Service Providers）信託牌照。TCSP 牌照在此體系中扮演著關鍵角色，為虛擬資產的獨立託管提供了新的業務場景，確保了資產的安全和獨立性。

近期美國證券交易委員會（SEC）批准了比特幣現貨 ETF，其中 Coinbase 成為了 8 家託管商之一，這不僅推動了其收入的增長，也標誌著數字資產託管已成為實力機構競爭的關鍵領域。2024 年 2 月 20 日，香港金融管理局（金管局）發佈了關於數字資產託管活動的指引，為在機構申請虛擬資產託管服務提供商牌照（TCSP）提供了明確的治理和風險管理、客戶資產隔離和保護、委託和外包等標準.

另外就單獨虛擬資產託管業務而言，香港高等法院原訟法庭已經在 Re Gatecoin Ltd [2023] HKCFI 914 一案中確認了虛擬資產屬於「財產」，並且能夠進行信託安排。因此，若相關虛擬資產託管業務涉及針對虛擬資產的「明示信託或相類似法律安排」，則託管人須要獲得香港公司註冊處頒發的 TCSP 牌照，比如錢包、託管商。

一、香港虛擬託服務提供商（TCSP）最新申請政策

（A）申請香港 TCSP 牌照的條件

• 根據《虛擬資產服務提供者發牌制度》，申請香港 TCSP 牌照需滿足以下條件：

• 是一家在香港註冊成立的公司

• 擁有良好的財務狀況和信譽

• 擁有合適的人員和系統來管理虛擬資產業務（具體參考最新金管局數字資產託管活動的指引）

• 制定並實施有效的打擊洗錢和恐怖分子資金籌集的政策和程序

（B）申請香港 TCSP 牌照的流程如下：

1. 準備申請材料

2. 向 SFC 提交申請

3. SFC 審查申請

4. SFC 決定是否發牌

5. 申請香港 TCSP 牌照所需材料

（C）申請香港 TCSP 牌照所需材料包括：

• 申請表格

• 公司註冊文件

• 財務狀況證明

• 人員名單和簡歷

• 打擊洗錢和恐怖分子資金籌集的政策和程序

• 業務計劃

• 技術架構

• 風險管理措施（具體參考最新金管局數字資產託管活動的指引）

• 其他 SFC 要求的材料

• SFC 對申請的審查

（D）SFC 會對申請進行審查，包括：

• 審查申請材料是否完整（具體參考最新金管局數字資產託管活動的指引）

• 審查申請人是否滿足條件

• 對申請人進行實地考察

（E）審核週期

• SFC 會在 6 個月內對申請作出決定。如果 SFC 決定發牌，會向申請人發出牌照。

（F）最新政策對申請香港 TCSP 牌照提出了以下新要求：

• 申請人需具備至少 500 萬港元的註冊資本

• 申請人需聘請至少兩名持牌負責人員（RO），負責監督虛擬資產業務的合規性

• 申請人需制定並實施有效的風險管理措施，包括 KYC/AML 政策、交易監控、信息安全等。

二、2024 年 2 月 20 日香港金管局發佈的關於數字資產託管活動的指引總結（詳細看指引鏈接）

（A） 治理和風險管理

• 在部署數字資產託管服務前，授權機構必須執行徹底的風險評估，建立和執行適當的管理策略、程序和控制措施來降低這些風險，同時遵循相關法律和監管框架。機構的管理層需確保在服務推出前及運營期間，持續有效地監控和減輕與託管活動相關的風險。

• 機構應配備充足的資源，包括專業知識和人力，以支持有效的治理和風險管理。此外，考慮到數字資產行業的快速變化，授權機構還應為涉及託管服務的員工提供持續的培訓，確保他們具備必要的知識和技能。

• 機構還需建立明確的問責機制，包括具體的角色定義、責任劃分和報告體系，以及制定策略和流程來識別和處理潛在或實際的利益衝突。最後，為保障業務連續性，授權機構應制定並維護全面的備用和災難恢復計劃。

（B）客戶數字資產的隔離

• 為確保客戶數字資產的安全和獨立性，授權機構必須將這些資產與自身的資產嚴格隔離，存放在指定的客戶賬戶中。這一措施旨在保護客戶資產，在機構面臨破產或解散風險時，避免客戶資產被用於償還機構債務。

• 授權機構對客戶數字資產的操作受到嚴格限制，不得未經授權轉讓、出借、抵押或以任何形式設定負擔於客戶資產。任何此類操作只能在滿足以下條件之一時進行：用於交易結算或支付客戶欠費，客戶已提前明確同意，或者根據法律要求。機構需採取有效措施，確保客戶資產僅用於約定的目的，防止任何未授權使用。

（C）客戶數字資產的保護

授權機構負責確保客戶的數字資產得到充分的保護和妥善管理，通過建立強大的系統和控制措施來防止資產丟失、盜竊、欺詐或任何形式的未授權訪問。這包括採用基於風險的方法來評估和應對各種安全威脅，特別是在使用不同類型的分佈式賬本技術（DLT）時，考慮到公共無許可網絡可能帶來更高的安全風險。

為此，機構必須實施一系列安全策略和程序，包括但不限於：

• 確保客戶數字資產的存取、轉移和管理過程中的授權和驗證，特別是對種子和私鑰的安全管理，涵蓋其生成、分發、存儲、使用和銷燬的全過程。

• 在安全的環境中生成和存儲私鑰和種子，優先考慮離線生成和存儲以減少網絡攻擊的風險，並採取分片技術避免單點故障。

• 限制訪問權限至經過適當篩選和培訓的授權人員，並採用多因素身份驗證等強身份驗證方法。

• 對存儲設備和應用程序的訪問進行嚴格的審計跟蹤，以及為助記詞和私鑰制定異地備份和應急計劃，確保這些關鍵信息的安全性和可恢復性。

• 採取額外措施保護客戶資產，如在冷存儲中保存大部分資產，確保通過客戶指定的白名單地址進行資產的存取，以及確保智能合約的安全性。

• 為客戶提供安全的用戶界面或門戶，實施有效的客戶身份驗證和通知控制措施，遵循最新的安全指導方針。

此外，授權機構應持續監控安全領域的最新動態，定期評估現有安全控制措施的有效性，並根據行業最佳實踐和國際標準更新保護措施，確保客戶數字資產的安全性和可靠性。

（D）委託和外包

• 在虛擬資產託管領域，授權機構面臨著選擇合適的合作伙伴來委託或外包託管職能的重要決策。基本原則要求，這些機構僅能將託管任務委託給經過適當授權的機構或持有相應牌照的虛擬資產交易平臺。特別是對於那些運營在公共無許可分佈式賬本網絡上的無許可令牌，更需謹慎評估委託或外包的決定。

• 在確定委託或外包合作伙伴時，授權機構必須進行徹底的盡職調查，評估潛在合作伙伴的財務狀況、聲譽、管理和技術能力，以及其遵守相關法律和監管要求的能力。此外，授權機構需確保委託方或服務提供商能夠提供安全可靠的解決方案，不會引入任何單點故障，同時保證在任何情況下客戶資產的法律權益不受影響。

• 授權機構還應確保已建立有效的監控和控制機制，以持續評估委託方或服務提供商的表現。此外，應急和災難恢復計劃應涵蓋可能中斷託管服務的各種情況，確保服務的持續可用性。

• 最終，雖然委託或外包可以帶來效率和專業性的提升，授權機構仍需承擔最終責任和問責，確保客戶資產的安全和合規管理，同時保持與傳統金融活動相同水平的系統和控制標準。

（E）風險披露

授權機構應以清晰易懂的方式向其客戶充分和公正地披露託管安排，包括：

• 授權機構及其客戶各自的權利和義務，包括在授權機構進入破產或清算時客戶對其資產的所有權權利；

• 託管安排，包括客戶數字資產的存儲和隔離方式、存取客戶數字資產的程序和時間，以及任何適用的費用和成本；

• 賠償安排，以覆蓋由於安全事件或挪用等原因可能導致的客戶數字資產損失；

• 客戶數字資產與其他客戶資產混合存在的情況，以及相關的風險；

• 授權機構將在其中取得客戶數字資產的法定和 / 或有益所有權，或以其他方式轉讓、出借、抵押、再抵押或對客戶數字資產設定任何擔保的我情況和安排，以及涉及的風險；

• 客戶數字資產在投票、硬分叉和空投等事件中的處理方式以及它們的相應權利和權益；

• 授權機構應向其客戶全面而公平地披露其託管安排，包括與其託管活動相關的潛在和 / 或實際利益衝突的存在和性質。

（F）客戶數字資產的記錄保存和對賬

• 授權機構應當為每位客戶保持適當的賬簿和記錄，以追蹤和記錄客戶數字資產的所有權，包括欠客戶的資產金額和種類，以及資產在客戶賬戶之間的流動情況。應當在逐客戶的基礎上定期和頻繁地對客戶數字資產進行對賬，考慮到相關的鏈下和鏈上記錄。如有任何不符之處，應當及時解決並適時升級至高級管理層。

• 授權機構應當建立系統和控制措施，以保管和保護與託管活動相關的所有記錄，並應在香港金融管理局要求時及時提供這些記錄。

（G）反洗錢和打擊恐怖活動融資

授權機構應確保其反洗錢和打擊恐怖融資（AML/CFT）政策、程序和控制能夠有效管理和減輕與數字資產託管活動相關的任何洗錢和恐怖活動融資風險。授權機構應遵守《反洗錢和打擊恐怖活動融資指引（適用於授權機構）》和香港金融管理局關於數字資產託管活動的 AML/CFT 指導文件。

（H）對持續監控的要求

授權機構應定期審查其政策和程序，並對其系統和控制以及對客戶數字資產保管方面的適用要求的合規性進行獨立審計。

三、困難與挑戰

雖說金管局對於虛擬資產託管的活動指引出來了，標準比之前更加清晰不需要過多的揣測證監會的意思，但是在香港設立一個遵守 TCSP 牌照要求的虛擬資產託管服務公司也是是一項挑戰。對於已經在運營中的交易所和錢包機構這個過程不僅要求徹底構建一個 IT 基礎設施，還涉及到對監管政策的深入理解、合規性保證、反洗錢措施的整合、安全控制系統的建立，以及區塊鏈錢包技術的開發。這些任務需要大量的法律諮詢、行業實踐比對，以及對操作可行性的驗證。

此外，香港的新政策對虛擬資產的安全性提出了更高的要求，包括獲得全額保險保障的難度（這個成本非常高，讓很多機構望而卻步）、建立企業級託管技術信任和第三方託管信用的時間成本，以及實施獨立賬戶託管的監管要求的複雜性。這些挑戰顯示了在香港建立 TCSP 託管服務提供商的複雜性，但通過周密的規劃和技術創新，這些問題還是可以被克服的。關鍵在於基於對業務的深入瞭解來制定全面的治理策略，涵蓋人員分工、運營規則和風險控制措施，以確保能夠順利地滿足監管要求並實施項目。