金管会新规：台湾 VASP 客户资产 70~80% 须存放冷钱包

台湾金管会目前分四阶段纳管 VASP 虚拟资产业者，第 1 阶段依《洗钱防制法》纳管，规定业者须向金管会完成法遵声明，第 2 阶段设立 VASP 公会，订定指导原则、自律规范。

目前已进入第 3 阶段，金管会于《洗钱防制法》订定子法，增订「VASP 登记制」，据业务复杂程度对 VASP 业者进行差异化管理。相关虚拟资产业者需在 2025 年 9 月底前完成登记，否则将禁止继续经营。

金管会宣布冷钱包资产规定

根据金管会证券期货局 5 日最新公告，VASP 业者须依据其资讯安全管理制度认证情况，确保客户虚拟资产在冷钱包的存放比例。

根据 《提供虚拟资产服务之事业或人员洗钱防制登记办法》 第二十六条第三项，金管会解释：虚拟资产保管商需依资安标准将客户资产存放于冷热钱包，并符合以下要求：

1. 符合国际资讯安全管理标准者

   • 若虚拟资产保管商之核心系统取得 ISO 27001、ISO 27701 或 SOC2 Type 2 等国际资安标准，则客户资产冷钱包存放比例不得低于 70%，热钱包存放比例不得超过 30%。
   • 若核心系统涉及云端服务，则委外厂商需取得 ISO 27017、ISO 27018、ECSA（欧盟云端服务星级验证制度）或 CSA STAR（美国云端安全联盟星级验证） 之认证，方可适用该标准。

2. 未符合国际资讯安全管理标准者

   • 若保管商未达上述资安标准，则冷钱包存放比例不得低于 80%，热钱包存放比例不得超过 20%，以进一步降低资产暴露于网络攻击风险。

此外，规范中提到的核心系统指的是直接提供客户资产保管、风险控制及帐务管理等业务所需的关键技术架构。

我们知道冷钱包（Cold Wallet）通常相比热钱包（Hot Wallet）更能有效防范骇客攻击，业者将 70~80% 用户资产放在冷钱包能够有效提升安全。不过我们知道 Bybit 此前才刚发生世上最大笔骇客攻击，攻击者从冷钱包中窃取近 15 亿美元的 ETH，因此也不能说 100% 安全，产业安全机制仍需不断完善。

另一方面，该规定似乎并没有考虑到 VASP 业者可能会将客户资产进行链上操作，例如质押（Stake），而仅关注在现货的状况，是否会因此造成 VASP 能提供的服务受限，还有待金管会更进一步说明。