香港证监会要求持牌平台怎样保管客户资产
香港持牌的虚拟资产交易平台不能把客户的币记在自己名下。证监会《适用于虚拟资产交易平台营运者的指引》第 X 部(第十部)「保管客户资产」要求,客户资产只能由平台全资拥有的一家香港公司(指引叫「有联系实体」)以信托方式替客户持有,客户的币放在专门的钱包地址里,和平台自己的资产分开。还有两条带着数字。98% 的客户虚拟资产要放在线下(俗称冷钱包);平台要有一套经证监会核准的补偿安排,保障额对线下存放的部分备到 50%,对线上和其它方式存放的部分备到 100%。
读一家平台的托管说明时,可以拿这几条逐项去比。它们防的是平台挪用、黑客盗走和密钥丢失,币价下跌不在其内,也和存款保险无关。指引只约束香港证监会发牌的平台营运者,平台没有香港牌照的话,这几条只能当提问用。
01香港证监会指引对保管客户的币和钱的要求
下表左栏是《适用于虚拟资产交易平台营运者的指引》的条文(括号里是段落号),中间和右边两栏是每一条对应的风险和它够不着的地方。
| 指引的要求 | 防的是什么 | 管不到什么 |
|---|---|---|
| 平台只能通过有联系实体,为客户以信托方式持有客户资产(第 10.1 段)。有联系实体要在香港成立为法团、持有信托或公司服务提供者牌照、由平台全资拥有,除了替平台收取或持有客户资产,不做别的业务 | 客户的币记在平台自己做生意的那家公司名下,和它的经营、债务搅在一起 | 平台出事之后要等多久、最后拿回多少,条文里没有数 |
| 客户虚拟资产存放在有联系实体开立、指定作此用途的钱包地址,与平台及有联系实体自己的资产分隔(第 10.5 段);对客户负有多少责任,就要持有相同数量的同一种虚拟资产(第 10.6(a) 段) | 账面上有、钱包里没有;客户的币被当成平台的自有资金 | 钱包和账本外人看不到,用户能读到的只有平台的披露 |
| 不得存入、转移、借出、质押、再质押或以其它方式买卖客户的虚拟资产,交易的交收、客户欠平台的收费和费用等列明情形除外(第 10.6(b) 段) | 平台拿客户的币去放贷、做抵押 | 客户自己签过的常设授权另算;这类授权的有效期不超过 12 个月,专业投资者不受此限 |
| 98% 的客户虚拟资产在线下储存,例外只限证监会因应个别个案准许的少数情况;线下的币尽量少动(第 10.6(c)、(d) 段) | 交易系统被入侵时,联网的那部分被一次搬空 | 内部人串通、签名环节被骗这类不靠联网入侵的损失,要靠密钥那一条 |
| 种子和私人密钥:无人可管有或存取完整资料;保存分散的后备;在香港安全地储存(第 10.8 段) | 一个人就能把币转走;一处损毁就全部找不回 | 执行得怎么样,用户从外面验证不了 |
| 设有经证监会核准的补偿安排,为线下储存、线上和其它方式储存的客户虚拟资产的潜在损失,分别提供 50% 和 100% 的保障(第 10.22 段) | 币被盗之后,平台拿不出钱赔 | 50% 是这笔保障至少备多少,条文没有写每位客户赔几成;币价下跌不属于保管损失 |
补偿安排的两个比例可以自己算一遍。照 98% 放线下、2% 放线上来算,平台要备的保障额是 98%×50% + 2%×100% = 51%,大约是它代客户保管的虚拟资产总值的一半。指引列了三种做法:第三方保险;平台或同集团公司以信托方式拨出、指定作此用途的资金或虚拟资产;香港认可财务机构出具的银行担保。平台要每天监察所保管的客户虚拟资产总值,发现要保障的金额超过了安排下的保障额、而且预计会持续,要通知证监会并尽快补救。
客户的现金另有一条(第 10.11 段)。有联系实体要在香港的认可财务机构,或证监会同意的其它司法管辖区的银行,开立独立账户;平台收到客户款项后一个营业日内,要放进独立账户、发还客户,或按客户的书面授权处理。
2025 年 8 月 15 日,证监会向持牌平台发了一份关于虚拟资产托管的通函,把操作上的要求写细了:种子和私人密钥以离线方式产生,放在硬件安全模组这类安全环境里;每笔交易都要经过有系统的验证,签署的人不能在看不清交易内容的情况下签(通函叫「盲目签署」);链上的客户资产要和分类账余额实时对账。98% 和 50%、100% 这几个比例,通函没有改动;它提到证监会的路线图里有一项措施,是探索针对托管技术和储存比率的动态监管方针,比例日后有没有调整,要看证监会之后发的文件。
表里的段落号对应指引 2023 年 6 月版,同年 6 月 1 日生效,2026 年 10 月证监会网站「指引」栏里列的仍是这一版。香港投资者及理财教育委员会有一页面向公众的说明,标注最后更新于 2023 年 11 月 8 日,用的是概括说法:大部分客户虚拟资产储存在「线下钱包」,客户资产与交易平台资产妥善分隔,平台设有保险或补偿安排。想知道具体比例,要回到指引的段落里看。
02这些保管规定不保币价,也和存款保险无关
它和香港的存款保障计划没有关系
香港存款保障委员会网站的存款人常见问题把虚拟资产列在不受存保计划保障的产品里。上面那套补偿安排由平台按证监会的要求自己备下,出钱的是平台或同集团公司、承保的保险公司,或出具担保的银行,和存保计划是两套安排。存保计划保的是什么,在放在交易平台的钱有存款保险吗那篇里。
币价跌了不算保管损失
补偿安排对应的是保管环节出的事,投委会那一页举的例子是平台遭黑客攻击。同一页也提醒,很多虚拟资产具有高度的投机性和波动性;监管制度减低的是交易平台这一头的风险,虚拟资产仍属高风险产品。买入之后跌了多少,这几条都不涉及。
线下那部分的 50%,说的是保障备多少
50% 这个数的含义要读清楚:它定的是平台为线下存放的客户虚拟资产至少要备下多少保障。出事之后每位客户赔几成,条文没有写。损失超出保障额的部分怎么办,要看平台自己还剩多少资产、后续程序怎么走。指引要求平台向客户全面披露保管安排(第 10.19 段),其中一项是:发生黑客入侵,或者平台、有联系实体违约造成客户虚拟资产损失时,它们将如何赔偿客户。这一句披露值得从平台的文件里找出来读。
同一份披露清单里还有一项:客户虚拟资产可能不会享有《证券及期货条例》赋予「证券」的相同保障。换句话说,账户里的币不一定享有证券账户里股票的那套法定保障。
只对香港证监会发牌的平台营运者适用
指引约束的是「平台营运者」,也就是按《证券及期货条例》或《打击洗钱条例》获香港证监会发牌的公司。没有这张牌照的平台,不受这些段落约束。一家平台在不在持牌名单上、名单上的公司名怎么和账户对上,先照香港证监会的虚拟资产交易平台名单的查法查一遍。
03拿这几条去对一家平台的托管或资产保障页面,分五步
准备一张四行的表,后四步各占一行,每行两格:平台怎么写、和香港的条文差在哪。
- 把材料找齐。平台官网的托管说明、资产保障页、用户协议、风险披露声明。在页面里搜「托管」「保管」「信托」「冷钱包」「线下」「保险」「补偿」,英文页面搜 custody、trust、cold storage、insurance。搜到的句子整句抄下来,连同网址和当天日期。
- 由谁持有。找出持有客户资产的那家公司的全名。香港持牌平台对应的是一家有联系实体:香港成立、平台全资拥有、持有信托或公司服务提供者牌照。它是营运者全资拥有的另一家公司,名字和持牌名单上的不同是正常的。页面只写「由我们安全保管」「交由专业托管机构」而没有公司名的,这一行记「未说明」。
- 有没有分开、平台能不能动用。先找「以信托方式持有」「与本公司资产分开存放」这类句子。再到用户协议里搜「借出」「质押」「再质押」「使用您的资产」。香港的条文是不得存入、转移、借出、质押、再质押;协议里出现平台可以动用客户资产的条款,记下它要你同意的是哪一种授权、多久到期、怎么撤销。
- 冷热比例。看有没有写出数字;数字的基数是客户的虚拟资产,还是平台的全部资产;它是一项规定、一个目标,还是某一天的实际值。香港的条文是 98% 的客户虚拟资产放线下。页面只写「大部分」「绝大部分」的,照原词记。
- 保险或补偿覆盖什么。分开记五样:形式是第三方保险、拨出的资金或币,还是银行担保;线下和线上的部分各覆盖到多少;每宗事故最高赔多少、总共最高赔多少;哪些情形除外;平台自身违约算不算在内。指引要求平台挑选保险公司时核实的也是这几样:受保资产的估值时间表、每宗意外和整体的最高保额、除外因素。
记着「未说明」的几行,整理成问题发给平台,要书面答复。答复里没有公司名、比例或保单信息的,那一行不改。
填完的表连同日期存一份,平台改了托管页或用户协议时,把有变动的几行重填。账户这一头的登录保护和提币设置是另一组核对项,见平台安全分三层核对。
04平台没有香港牌照,它的托管说明该怎么读
五步里「香港的条文是……」那半句,要两个条件同时成立才算数:平台是香港证监会发牌的营运者;你的账户开在那家持牌公司名下。用户协议里和你签约的若不是那家持牌公司,而是同品牌下的另一家,香港的 98%、50% 和 100% 管的就不是你那个账户。人不在香港、用的是别处平台的读者,那张四行的表只能当提问清单,得不出结论。
这种情况下五步照样可以走,读法要换。比如平台答「98% 以上的资产存放于冷钱包」,这是它自己的陈述。在香港,这个数背后有证监会的指引和监督;换一个地方,有没有人查它,要另找依据。我建议找两类:当地监管机构对客户资产有没有成文的要求;平台有没有给出可以核对的第三方材料,比如保单上承保公司的名称,审计或鉴证报告的出具方和日期。
填表的方法也跟着变:每一行先记平台怎么答,再记这句回答有没有外部的东西可对。四行里多数只有平台自己的话可依,就按没有这层保障来定放多少、放多久。
当地有没有同类条文,到当地监管机构的官网按「客户资产」「托管」或 custody 搜。搜到了,照前面那张表的三栏自己填一遍。