El núcleo del cumplimiento de activos virtuales en Hong Kong: gestión segura de la Billetera y custodia de activos

Recientemente, dos intercambios de activos digitales virtuales en Hong Kong han obtenido licencias de proveedor de servicios de activos virtuales aprobadas por la Comisión de Valores de Hong Kong, anunciando oficialmente que pueden ofrecer servicios de intercambio de activos virtuales a minoristas en Hong Kong. Los minoristas de Hong Kong ahora solo necesitan registrarse en estos dos intercambios para poder comprar directamente Bitcoin y Ethereum. Esta noticia sin duda inyecta un impulso a la posición y el despliegue de los intercambios de cumplimiento en el campo de los activos virtuales.

Desde octubre del año pasado, la Comisión de Valores de Hong Kong y la Autoridad Monetaria de Hong Kong han publicado una serie de medidas sobre el comercio de activos virtuales. A partir del 1 de junio de este año, además de las bolsas de valores con licencia, otras bolsas de activos virtuales también pueden presentar oficialmente solicitudes a la Comisión de Valores de Hong Kong para convertirse en bolsas de activos virtuales de Cumplimiento.

En este entorno político, muchas bolsas tienen la intención de solicitar licencias en Hong Kong para convertirse en Billeteras centralizadas y en cumplimiento. Una plataforma de negociación de activos virtuales bajo un grupo de valores también planea presentar oficialmente su solicitud a la Comisión de Valores a finales de este año, para proporcionar servicios de valor agregado a más profesionales e inversionistas del mundo financiero tradicional y Web3.

Entonces, ¿cuáles son los requisitos de la Comisión de Valores de Hong Kong para los intercambios centralizados? Además de todo el proceso en los documentos legales, ¿cuáles son los requisitos de configuración técnica especiales?

De hecho, el marco regulatorio de cumplimiento de las transacciones en Hong Kong tiene requisitos técnicos muy altos para el cumplimiento de hardware y software por parte de las plataformas de intercambio. A nivel internacional, hay varios proveedores que ofrecen diversos servicios técnicos a estas plataformas bajo el marco de cumplimiento. Uno de los campos más críticos, y el que más le importa a la Comisión de Valores de Hong Kong, es la custodia de los activos de los clientes.

Diferencias entre la custodia de activos financieros tradicionales y la custodia de activos virtuales

En el sistema financiero tradicional, los usuarios suelen comprar acciones a través de corredores. Desde la perspectiva de la experiencia del usuario, parece que depositan dinero en la cuenta del corredor, quien realiza las transacciones de acciones y las deposita en la cuenta del nombre del usuario.

Sin embargo, en realidad, los fondos de los usuarios no se almacenan en la cuenta del corredor, ya que los corredores, como instituciones no bancarias, no pueden custodiar directamente los fondos de los clientes. Los fondos de los usuarios se almacenan, de hecho, en el banco. El banco tiene una gran cuenta para ese corredor, y debajo de esa cuenta hay varias cuentas pequeñas para custodiar los fondos de los usuarios. Por lo tanto, el corredor, como custodia de los fondos de los usuarios, no puede realmente movilizar los fondos de los usuarios. El banco solo permitirá que el corredor retire los fondos depositados en nombre del cliente después de confirmar que el corredor ha recibido la instrucción del cliente.

En general, las acciones y bonos en el mundo de las finanzas tradicionales están custodiados en instituciones altamente centralizadas y con una seguridad extremadamente alta. Estas instituciones cuentan con una protección de seguridad muy completa en términos de hardware y software, que incluye controles internos y de red. Los proveedores de servicios de valores en realidad solo ayudan a los clientes en el proceso de gestión de custodia, respaldados por grandes instituciones financieras que han actualizado su tecnología a lo largo de varias generaciones para custodiar y proteger los activos de los usuarios. Esta es también la razón por la cual las personas se sienten muy seguras en las transacciones financieras tradicionales.

Y bajo el marco de cumplimiento de activos virtuales en Hong Kong, la custodia de los activos de los usuarios es muy diferente. Hong Kong exige que las bolsas que operan con activos virtuales cumplan con regulaciones que requieren que actúen como bancos, y los activos virtuales de los clientes se custodian directamente en la billetera fría de la bolsa. Esto equivale a la necesidad de concentrar las funciones de numerosos sistemas tradicionales de custodia financiera, como bancos y custodios, en la entidad de la bolsa de cumplimiento, que es responsable de los activos de los clientes. Por lo tanto, para cualquier bolsa de cumplimiento, los requisitos técnicos de hardware y software que debe tener superan con creces los de los corredores de bolsa, acercándose al nivel de un banco, y además debe incorporar una dimensión criptográfica.

Problemas de seguridad en el campo del comercio de activos virtuales

Desde el punto de vista de la seguridad, la blockchain se puede dividir simplemente en on-chain y off-chain. Los contratos inteligentes on-chain son programas que se ejecutan automáticamente una vez que se cumplen las condiciones establecidas, y pueden ser atacados por hackers desde diversas dimensiones, aprovechando las vulnerabilidades de los contratos inteligentes para realizar transferencias de fondos o filtraciones. Off-chain, para la plataforma operativa, es un proyecto de ingeniería de capacidad de seguridad: desde si se ha establecido un buen sistema de autenticación de usuarios en el lado del usuario, hasta si hay seguridad en la red, seguridad en los terminales y un mecanismo de respuesta a emergencias dentro de la empresa, y qué ruta técnica se utiliza para el cómplice.

Desde la perspectiva del Cumplimiento, antes de 2018, el comercio de activos virtuales no tenía un concepto de Cumplimiento y se encontraba en un estado de crecimiento salvaje, que solo ha comenzado a cambiar gradualmente en los últimos años. En 2017, Japón fue uno de los primeros en Asia en implementar un sistema de licencias, donde las instituciones financieras japonesas gestionan la concesión de licencias a los intercambios y establecen una serie de requisitos en áreas como la ciberseguridad y la seguridad de datos.

Las políticas recientes de Singapur y Hong Kong han puesto de relieve el sistema regulatorio de Hong Kong. El evento de FTX hizo que la gente se diera cuenta de que el cumplimiento y la regulación no pueden ser superficiales; las reglas y sistemas de gestión deben ser implementados de manera clara para proteger verdaderamente los intereses de los inversores. Por lo tanto, Hong Kong ha publicado este año una política de regulación de licencias de activos virtuales clara, comenzando con las plataformas de intercambio.

Requisitos de Cumplimiento de la Custodia de Activos por parte de la Regulación

Una empresa de seguridad tiene clientes licenciados en Hong Kong, Japón, Singapur y otros lugares. A través de una comparación horizontal de los requisitos de licencia en diferentes lugares, consideran que la lógica y la integralidad de las políticas regulatorias de la Comisión de Valores de Hong Kong / el gobierno de Hong Kong son muy fuertes.

Principalmente se manifiesta en los siguientes aspectos:

Primero, teniendo en cuenta los factores geopolíticos, el gobierno de Hong Kong exige claramente que las claves privadas detrás de los activos digitales deben estar localizadas en Hong Kong.

En segundo lugar, desde la perspectiva de la madurez del sistema regulatorio, la consideración regulatoria es muy completa. Dado que Hong Kong aún no tiene un sistema de regulación de custodia de terceros maduro y completo, la política regulatoria del gobierno de Hong Kong exige que los solicitantes de licencias de activos virtuales deben construir su propio sistema de custodia segura de activos virtuales y enumera muchos requisitos detallados. Tomando como ejemplo la selección de la ruta tecnológica, uno de los principios de evaluación importantes del gobierno de Hong Kong es la madurez de la tecnología en sí, lo que se refleja en si los componentes clave de la tecnología utilizada son reconocidos por instituciones de certificación de seguridad de autoridad internacional.

Por lo tanto, la actitud del gobierno de Hong Kong se puede describir como "tanto conservadora como abierta". El conservadurismo se refleja en la elección relativamente conservadora de una ruta tecnológica madura y verificada repetidamente en el ámbito de la seguridad financiera tradicional; la apertura se manifiesta en la consideración de muchas soluciones tecnológicas nuevas y en la demostración de una actitud abierta.

Aunque el gobierno de Hong Kong exige que las plataformas de negociación de activos virtuales deben custodiar los activos de los clientes y ha enumerado requisitos regulatorios claros, la simple declaración de que se cumplen los requisitos por parte de la bolsa no es suficiente para obtener una licencia. También debe haber una institución de evaluación de terceros autoritativa que realice la evaluación; solo si una institución de evaluación de terceros autoritativa demuestra que se cumplen los requisitos, será posible solicitar la licencia.

Métodos para proteger la seguridad de los activos de los usuarios

1. Los requisitos en el ámbito de TI incluyen seguridad de la red, infraestructura de TI, seguridad de terminales, respuesta de emergencia ante desastres y sistemas de custodia de billetera, entre otros. Uno de los requisitos es que el 98% de los activos deben almacenarse en billeteras frías.

La billetera fría es una billetera completamente desconectada de la red. Pero no es suficiente con estar desconectado; también es necesario utilizar dispositivos de seguridad criptográfica reconocidos internacionalmente para formar un tesoro de activos digitales y proteger los activos digitales de los usuarios. Al mismo tiempo, también hay requisitos para el entorno físico que almacena esta información en hardware (el tesoro), como mantener la temperatura, humedad, evitar el rastreo, el seguimiento y la interferencia de señales.

Para prevenir la pérdida de activos de los usuarios debido a vulnerabilidades no consideradas por la regulación o errores operativos de la plataforma, se requiere, además de limitar la tecnología y las soluciones de implementación, contar con un fondo de compensación por riesgos o un seguro específico para activos virtuales, que tenga la capacidad de indemnizar a los clientes.

2. En términos de cumplimiento, la lucha contra el lavado de dinero y el financiamiento del terrorismo son aspectos que los reguladores toman muy en serio, cada intercambio debe contar con un "oficial de cumplimiento" profesional. El cumplimiento abarca todo el proceso de transacción, no solo se debe verificar la seguridad de la identidad del cliente y de los fondos en la etapa de incorporación del usuario (KYC), sino que también se debe evaluar si el origen y el destino de los fondos de cada transacción cumplen con los requisitos (Travel Rule).

3. El control de riesgos se manifiesta en múltiples aspectos, cada plataforma necesita gestionar el comportamiento de manipulación del mercado, el riesgo de fraude de los usuarios, el riesgo de contraparte y el riesgo de crédito, entre otros.

4. Desde la perspectiva de la gobernanza, es necesario establecer un sistema de gobernanza completo. Su núcleo radica en la claridad de los roles:

Primero, los roles principales deben ser separados. En Hong Kong, los requisitos de regulación de licencias similares exigen que la plataforma de intercambio sea el sujeto de la plataforma de intercambio, y al mismo tiempo debe haber otro sujeto responsable de la seguridad de los activos de los clientes, y este sujeto debe servir al 100% al sujeto de la plataforma de intercambio, no puede servir a otros sujetos.

En segundo lugar, desde el punto de vista financiero, la responsabilidad también debe ser clara. Es necesario distinguir claramente entre los fondos de la plataforma de negociación y los fondos de los usuarios, no debe haber ninguna confusión de fondos, incluso en lo que respecta a la Gas Fee que se debe pagar para completar la transacción.

Tercero, "los roles y responsabilidades son separados". No debe haber riesgo de punto único en ninguna etapa del proceso de negocio, ni debe haber abuso de poder, entre otras situaciones. Por ejemplo, para realizar la asignación de fondos a la billetera fría, se debe seguir el "principio de cuatro ojos".

Soluciones que podrían ser introducidas en el futuro

En el futuro, sin afectar el nivel de seguridad existente, y bajo la premisa de poder brindar más conveniencia tanto a las bolsas de intercambio como a los usuarios, las bolsas de intercambio de activos virtuales cumpliendo con la normativa en Hong Kong podrían introducir algunas nuevas soluciones en cuanto a la custodia de los activos de los clientes.

Desde la perspectiva de la operación de plataformas de intercambio, hay muchas tecnologías excelentes en este campo, como la popular tecnología MPC (Cálculo Multi-Partes). La regulación no busca rechazar estas tecnologías, sino considerar más bien la madurez de las mismas. Confío en que, con el tiempo, estas excelentes tecnologías también madurarán gradualmente bajo un sistema de certificación reconocido globalmente.

Por otro lado, muchas plataformas de intercambio también deben considerar cómo llegar a más usuarios finales. Actualmente, permitir que los usuarios finales se incorporen y realicen transacciones a través de un método centralizado satisface efectivamente una gran parte de las necesidades de los usuarios, quienes no necesitan gestionar sus propias claves privadas y frases de recuperación. Al mismo tiempo, también vemos que en el mundo Web3 hay muchos innovadores; en el futuro, podrían surgir muchas soluciones relacionadas con billeteras personales que complementen a los intercambios centralizados, e incluso formen una especie de sinergia.

Desde la experiencia operativa de las finanzas tradicionales, no es necesario que cada intercambio tenga su propio cómplice, se puede completar la custodia de activos del mercado entero por 1-2 instituciones de custodia. En el futuro, cuando la seguridad y la ejecutabilidad de tecnologías como MPC sean reconocidas por más instituciones de certificación de nivel internacional, el ámbito de la custodia podría concentrarse gradualmente en unas pocas instituciones de custodia líderes para ejecutar toda la custodia local.

Específicamente en dos niveles: primero, desde la perspectiva de la separación de responsabilidades y poderes, las bolsas que actualmente solicitan licencias aún asumen el papel de cómplice. Creo que, a medida que se perfeccione el sistema regulatorio, en el futuro se debería poder aclarar de manera independiente la regulación de esta parte de la custodia, incluyendo cómo regular la custodia y cómo las bolsas utilizan servicios de custodia de terceros para la custodia de activos de los clientes. Por lo tanto, se puede prever que, a medida que se aclare la regulación, las responsabilidades se pueden separar. Segundo, desde la perspectiva de la ruta técnica, actualmente se exige comúnmente una solución basada en máquinas criptográficas de nivel de seguridad financiera tradicional. En el futuro, cuando otras nuevas rutas tecnológicas maduren cada vez más y obtengan certificaciones de prueba global, la elección de la tecnología por parte de los proveedores de servicios de custodia ya no podrá ser única y habrá más opciones.

Siempre creemos que, a medida que la tecnología avanza y el mercado en su conjunto profundiza su comprensión de la regulación y los profesionales en esta industria, cada vez más personas ingresarán a este campo y el mercado seguirá floreciendo.