金融机构数字资产合规实用指南

金融机构数字资产合规 10101001010101101001010100101100111010100101001010010010101010101110001010101010010111010100101111001001010101010101001010101101001010100101011010100101010110100101010010110011101010010100101001001010101010111000101010101001011101010010111100100101010101010100101010110100101010010101椭圆实用指南 最能把握数字资产机遇的金融机构，将不是那些行动最快的，而是那些在行动中同步构建起合适风险基础设施的机构。 金融机构（FIs）目前对数字资产的风险敞口程度不一，对其敞口情况的了解程度也各不相同。有些机构正积极构建资产托管和稳定币业务能力，而另一些机构则正在调查其现有客户是否与加密资产生态系统有任何互动。大多数机构处于两者之间：意识到数字资产正成为金融版图的一个永久性特征，但不确定如何最佳地参与其中或如何保持合规。 已发放首批稳定币牌照，并批准了该国三大银行联合进行的稳定币试点。如今，全球范围内金融机构在管理数字资产风险方面有了更清晰的监管规则。 但监管许可并不等同于运营就绪。金融机构可以通过既定流程核验客户身份及资金来源。但若无区块链分析技术，它无法判断该客户的加密资产钱包是否与受制裁实体有过交互，或资金是否流经了旨在隐藏资金来源的服务。传统的合规控制并非为此而设计。区块链分析技术正是弥补这一缺口的底层设施。 许多曾使许多金融机构持观望态度的监管不确定性现已消除。在美国，OCC于2025年3月撤销了《解释函》（IL）1179，并在全年发布了一系列允许性解释函，确认银行可以： • 提供加密资产托管和执行服务（IL 1184）• 持有数字资产以支付网络费用（IL 1186）• 进行无风险本金加密资产交易（IL 1188） 本指南借鉴了Elliptic与金融机构合作十余年的经验，涵盖从初步风险敞口评估到企业级数字资产合规集成等环节。它提供了一个框架，用于理解和实施基于区块链分析的管控措施，以识别和管理数字资产风险。本指南将帮助评估贵机构的现有能力，从而为您构建一条切实可行的前进路径。 此外，美国通过了《天才法案》（GENIUS Act），创建了首个联邦稳定币框架。欧盟的米卡计划（MiCA）于2024年至2025年间在全部27个成员国启动实施。香港的稳定币条例于2025年8月生效。日本金融厅（FSA） 区块链分析是什么？ 每一笔加密资产交易都会记录在公共区块链上：这是一个永久且不可篡改的账本，任何人都可以读取。区块链分析是指收集和解读这些数据，以识别交易者是谁、资金来源地、资金去向以及每个环节相关的风险。 在实践中，像Elliptic这样的区块链分析服务商会建立大型数据集，将钱包地址与已知实体关联起来：交易所、受制裁者、暗网市场、执法部门查封的地址、合法企业以及数百万其他已识别的参与者。当金融机构审查某个钱包或交易时，它将该活动与这个数据集进行比对，以评估风险。 风险管理如何随数字资产而变化 金融机构已拥有成熟的金融犯罪风险管理框架。在美国《银行保密法》（BSA）以及全球范围内的同等制度下，该流程遵循着熟悉的模式： 该机构根据其管辖范围、客户类型、产品和服务，识别其面临的风险，并制定红旗标志和风险指标清单。随后，它进行控制评估，以确定其应对这些风险的有效程度。在此过程中，识别出差距，设计控制措施，并制定行动方案。监管机构审查此流程，以确保机构的金融犯罪控制措施与其对潜在风险的认知相一致。 数字资产管理遵循同样的逻辑。风险识别流程相同：你需要评估你的客户群、地域和产品供应。控制评估也相同：你需要评估你的控制措施如何应对已识别的风险以及存在哪些差距。治理预期也相同：你需要明确的所有权、记录在案的过程以及向审查人员展示你方法的能力。 你所做这一切的信息环境发生了什么变化。 链上优势 在传统银行业务中，追踪资金在法律上既复杂又范围有限。通常，一个机构只能看到资金流向的一个环节。如果其收到来自另一账户的资金，若不向付款机构索取信息，则很难追溯该账户资金的来源。要追溯到多个中间环节的资金流向，通常需要主动调查，并往往涉及执法部门、传票以及机构间的合作，这个过程耗时且结果常不完整。 区块链上的地址，识别与已知非法行为者的关联，并评估风险，这是法定货币支付系统根本无法做到的。能够实时追踪资金流向，是因为相关数据已存在于区块链上。 这种透明度是一项基本优势。数字资产所适用的金融犯罪风险和类型是真实存在的，但它们通常比传统金融中的对应风险更容易被察觉，正是因为区块链交易会留下永久且可追溯的记录。因此，挑战并非数字资产风险不可管理，而是管理它需要一种特定的分析能力，而这种能力是传统合规系统并非为提供而构建的。 数字资产运作方式不同。对于公共区块链而言，每一笔交易都是透明、永久且不可篡改地被记录下来。通过区块链分析，一个机构可以追踪资金经过数十次中介转账（称为“跳跃”），并看到与每一笔交易相关的风险。 什么是加密资产钱包？ 在传统银行业务中，客户将资金存入由银行管理的、以账号标识的账户。在数字资产生态系统中，其对应物是钱包：一个区块链上的唯一地址，可以发送、接收和持有数字资产。 钱包由持有与之关联的私钥的人控制。个人或实体可以创建和操作多个钱包，并且没有必要将钱包链接到经过验证的身份。这就是区块链分析学存在的原因：它将钱包地址与已知实体关联起来，构建了区块链本身不提供的身份层。 钱包可以被“托管”（由虚拟资产服务提供商（VASP）代表客户持有，类似于银行如何持有客户的账户）或“自行托管”（由个人直接控制，没有中介）。自行托管的钱包会带来额外的尽职调查考虑因素，因为不存在中介对钱包持有人进行KYC验证。 您需要应对的数字资产框架的风险和类型 正如传统金融犯罪风险管理始于识别适用于贵机构的具体风险一样，数字资产管理始于理解区块链分析能够检测的非法金融活动类型。 多个钱包和交易所。加密资产也被用于在暗网上购买毒品，大型暗网市场促成了数百万甚至数十亿美元的非法交易。 对于金融机构而言，最可能的风险敞口来自于那些其链上交易与毒品相关洗钱网络相连的客户。例如，一家银行客户可能会将毒品销售的现金收益存入银行，然后试图将其转化为加密资产，作为洗钱过程的一部分。 以下我们描述了在数字资产中最常见的几种关键金融犯罪活动类型。这并非详尽无遗的清单，因为犯罪分子不断采用新手法，但它为任何机构的风险框架应解决的基础。 涉毒洗钱 现在，主要的国际贩毒集团常规性地使用加密资产来洗钱，利用稳定币进行跨境价值转移，并通过...层叠资金。 什么是稳定币？ 稳定币是一种旨在维持稳定价值的数字资产，通常通过将其与法定货币（如美元）挂钩来实现。与大多数加密资产价格波动不同，美元挂钩稳定币的目标是始终值一美元。稳定币通过储备来维持其挂钩关系，这些储备通常是现金、国库券或其他高流动性工具。 大多数主要稳定币都包含冻结功能，允许发行方冻结特定钱包中的资金，这是一种强大的合规机制，在现金交易中没有直接对应物。由于稳定币是加密资产生态系统中转移价值的主要媒介，它们几乎出现在所有风险类型中，从规避制裁到欺诈再到跨链洗钱。 欺诈与社会工程学 网络诈骗，即受害者被诱导向虚假加密资产生态平台汇款，已发展成为一个价值数百亿美元的行业，通常依赖于东南亚各地诈骗窝点中的人口贩卖和强迫劳动来维持。 混淆与跨链洗钱 混合器、杯状容器和隐私增强协议被用于掩盖资金的来源。数字资产也可以通过桥梁在不同的区块链之间转移，以切断分析线索。 人工智能生成的深度伪造和钓鱼活动正在进一步扩大其运营规模。金融机构面临来自多方面的风险：零售和财富管理客户可能成为受害者，企业客户可能在不知情的情况下为欺诈所得的转移提供便利，而提供加密资产经纪或托管服务的银行则需要筛查与这些活动相关的钱包。 椭圆（Elliptic）发布的《跨链犯罪态势报告》显示，三分之一的链上调查涉及超过三个区块链，五分之一则涉及超过十个。对于机构而言，这意味着仅限于一个或两个区块链的筛选能力，将无法捕捉到那些刻意经由其他区块链进行的洗钱活动。 什么是桥梁？ 比特币、以太坊、索拉纳以及其他区块链各自维护着独立的账本。桥梁是一种协议，它允许数字资产在这些账本之间转移，类似于代理银行关系使资金能够在没有共同支付系统的机构之间流转。 对于合规团队而言，桥梁至关重要，因为它们是追踪资金流向过程中的一个复杂节点。一笔始于某条区块链并通过桥梁转移到另一条区块链的交易，如果该机构的筛查能力仅覆盖一个网络，就可能会中断分析线索。 犯罪分子会故意利用这一点，通过在多个桥梁和区块链之间转移资金来增加追踪难度。这就是为什么跨链追踪——即追踪桥梁交易中资产的能力——在评估区块链分析解决方案时是一个关键因素。 逃犯制裁 制裁机构，例如美国财政部外国资产控制办公室（OFAC），会指定受制裁个人、实体和司法管辖区的特定加密资产钱包地址。区块链分析会识别涉及这些钱包的交易，并通过中间地址追踪关联关系。这很重要，因为与俄罗斯、伊朗、委内瑞拉和朝鲜有关联的受制裁行为者正越来越多地将数字资产，特别是稳定币，整合到其逃避制裁的策略中。 向（或从）经批准的实体通过多个中间环节划转资金。此外，金融机构若向受制裁的虚拟资产服务提供商或稳定币发行方提供服务，且其基础客户和交易对手方受到制裁，则可能面临制裁风险。为发行方提供稳定币储备管理服务的机构将受到特别审查，因其持有的储备可能为通过受制裁渠道流通的代币提供支持。 对于机构而言，这种风险敞口可以是直接的（客户的钱包与一个属于受制裁方的地址进行交易），也可以是间接的（客户的钱包包含...）。 什么是VASP？ VASP代表虚拟资产服务提供商，这是金融行动特别工作组（FATF）建立的一项监管术语，涵盖任何为客户代为促进数字资产交易的业务。这包括处理加密资产交易的加密资产交易所、托管人、钱包提供商和支付处理器。 最接近的类比是银行已经处理的金融中介范围：做市商、支付服务提供商、货币服务机构以及托管银行。VASPs 在数字资产生态系统中承担类似的功能，银行与它们互动的方式也相似：作为寻求银行服务的客户，作为交易流中的交易对手，或作为提供数字资产行为产品的合作伙伴。 金融机构的数字资产合规 > 01. 风险管理如何随数字资产而变化 国家支持的网络盗窃 朝鲜的国家级黑客行动，包括2025年2月的15亿美元Bybit攻击，是全球非法加密活动最显著来源之一。被盗资产通过快速代币转换、跨链交换和多钱包层级化进行洗钱。 通过足够多的步骤来使其显得不引人注目，并且没有能够追踪整个所有权链回溯到原始漏洞的区块链分析能力。 为了对这些类型进行更深入的分析，包括详细的案例研究、警示信号和监控方法，Elliptic 的《类型报告》为合规团队、调查人员和监管机构提供了关于其面临的最紧迫金融犯罪趋势的全面覆盖。 提供保管或兑换服务的机构存在潜在风险。被盗资产通常在盗窃发生后数小时内被洗白，流经数十个中间钱包，最终到达可以兑换成法定货币的平台。当银行客户存入这些资金时，它们可能已经流转过 直接接触与间接接触 一个与传统银行业务的关键区别在于直接风险敞口与间接风险敞口之间的区别。直接敞口很简单：客户的钱包与一个受认可实体进行了交易。间接敞口则发生在资金通过中介钱包或跳转环节可追溯至风险来源时。 客户与风险源头之间存在大量跳转，并不一定意味着风险较低。事实上，非法行为者通常会通过多个跳转发送数字资产，有时会将资金拆分成小额转账，试图掩盖其来源——这种技术被称为“链剥皮”（chain peeling），与洗钱者使用“斯莫夫инг”（smurfing）等技术通过银行层层转移资金的方式类似。