作者按：歷史已經一再證明、並將繼續證明類似Fcoin的事故不會是個例，如何有效保護客戶資產是各國加密資產交易所遲早需要面對的重大合規問題。對此，加拿大擴大了監管範圍，而香港製定了專門規則。
在監管缺失或者不足的環境下，只要客戶資產仍交由加密資產交易所一手掌管和控制，類似新近發生的Fcoin的兌付危機、早年出現的Mt. Gox的盜幣事件就難以完全避免。如何有效保護客戶資產，是監管部門及加密貨幣交易所遲早都會面臨的重大問題。
在傳統證券市場上，「證券公司管交易、商業銀行管資金」，客戶證券交易結算資金由第三方存管的機制早已成為比較普遍的市場和監管實踐。而在新興的加密資產交易市場上，對於客戶資產的保護總體上還處於法規比較粗放、滯後、存在不足的狀態，交易所內的客戶資產被盜、被挪用、被侵吞的情況屢見不鮮。
針對該等問題，為了維護投資者的資產安全，規範加密資產交易所的相關行為，近年來已經有一些國家及地區的相關監管部門出台了初步的規則，也有一些國家正在研究和探索監管框架的過程中。
比如日本在2016年5月通過的修訂的《資金結算法》及相關配套規定中要求加密資產交易所將自身的資產（包括法幣及虛擬貨幣）與投資人的資產進行區分管理，並接受會計師審計；香港證券及期貨事務監察委員會（SFC）在2018年11月發布的《有關針對虛擬資產投資組合的管理公司、基金分銷商及交易平台營運者的監管框架的聲明》、在2019年11月發布的《立場書——監管虛擬資產交易平台》（「立場書」）；參照其在傳統證券市場上採用的監管措施，制定了專門適用於加密資產交易所客戶資產保護的監管規則；而加拿大證券管理委員會（CSA）與加拿大投資行業監管組織（IIROC）在2019年3月發布的第21-402號諮詢文件《有關加密資產交易平台的擬議框架》（「框架」）及CSA在2020年1月發布的第21-327號通知《關於促進加密資產交易的實體適用證券法規的指引》（「指引」）均反映出加拿大擬就相關加密貨幣交易所的客戶資產保護作出監管要求。
筆者注意到，就客戶資產保護這一方面而言，加拿大在「管誰」的問題（即對監管對象的選擇）上比較特別，其擬納入該國證券法規規管的交易所並不局限於上線證券型代幣的中心化交易所，而是實際擴大至絕大部分控制著客戶資產的中心化交易所；而香港在「怎麼管」的問題（即對客戶資產保護所採取的措施）上較有特色，制定了比較全面、詳細、專門適用於客戶加密資產保護的規則。該等國家和地區對加密資產交易所客戶資產保護的監管嘗試及努力值得其他國家的監管層及相關加密資產交易所關注。
1.加拿大擬確定的監管對象
(1)確定監管對象的標準
據筆者觀察，已經對加密資產交易所建立監管框架的一些國家和地區不少是將交易所上線的加密資產的性質是否為證券型代幣作為是否需將該等交易所納入該國證券法規監管的主要標準（如美國、新加坡、香港等）。如果交易所上交易的加密資產中包括至少一種證券型代幣，則通常需受該國證券法規的管轄；而如果交易所上不涉及證券型代幣的交易（如僅交易比特幣、以太坊等支付型代幣或功能型代幣），則一般不在該國證券法規的規管範圍之內。此外，由於去中心化交易所通常不控制客戶資產，用戶的加密資產由用戶自行保管，加密資產在用戶之間的轉移通過智能合約完成，因此僅從客戶資產保護的角度而言，通常不受證券法規規管。
加拿大除了同香港一樣，將交易證券型代幣的交易所作為監管對象之外，還增加了一項確定監管範圍的評判因素——即對於非交易證券型代幣的交易所而言，其在投資人發生交易後是否「立即交付（immediate delivery）」客戶資產，如否，則該等交易非證券型代幣的交易所也在監管範圍之內。
(2)將非交易證券型代幣的交易所也納入監管的理由
1）要求交付資產的合同請求權構成「衍生品」
根據CSA的指引，即使交易所上交易的加密資產不是證券型代幣、而是商品（比如比特幣），但是，如果交易所在交易後沒有向投資人「立即交付」加密資產，而是仍實際控制著投資人的資產，投資人就該等資產僅有一項請求交易所轉移資產的合同請求權，則投資人的該等合同權利本身可能構成衍生品（在某些司法轄區內，該等合同權利可能被視為證券、投資合同、債權憑證、權利或權益憑證），因此該等交易所也需受加拿大證券法規管。
2）「立即交付」的理解和認定
根據指引，滿足以下兩項條件的加密資產交易所不受加拿大證券法規管轄：(a)交易所上交易的加密資產不構成證券或衍生品；以及(b)在加密資產買賣合同下，交易所負有向用戶「立即交付」加密資產的義務，並且根據交易慣例，交易所通過向用戶「立即交付」加密資產的方式完成交收。
CSA指出，交易所有沒有向用戶「立即交付」加密資產的義務和意圖，沒有一個直接、明確的判斷標準，需結合書面、非書面的條款、具體情勢、交易慣例等因素綜合判斷。交易所是否以及何時完成了「立即交付」，也需基於「實質重於形式」的原則，結合具體情況和經濟實質予以確定。
根據指引，出現以下情形的，可以認為「立即交付」已經發生：(a)交易所已經向用戶轉讓了加密資產的所有權、占有和控制的權利，用戶有權自由使用、處置該等加密資產，而無需再牽涉或依賴平台或其關聯方，並且平台或其關聯方對該等加密資產不擁有任何擔保權益或其他權利；以及(b)在加密資產立即交付之後，用戶不再面臨平台破產、欺詐、運營、專業性等風險。
3）需提出提幣請求的情形不構成「立即交付」
CSA進一步指出，如果交易所僅在其帳簿上記錄了交易（以證明用戶購買了相關加密資產，且用戶有權在提出提取要求時收到該等資產），但交易所保留對該等加密資產的所有權、占有和控制的權利，其僅在用戶提出要求時才會將加密資產轉入用戶控制的錢包的，在這種情況下，交易所沒有「立即交付」的義務。在交易所將加密資產轉入用戶控制的錢包之前，用戶仍需持續信賴和依賴交易所，對其購買的加密資產沒有所有權、占有和控制的權利，用戶仍承擔著平台破產、欺詐、運營等風險。
簡言之，交易所僅在其帳簿上記錄客戶對其資產的所有權不構成交付，原因在於為了能夠在提出提取要求後最終收到加密資產，用戶仍需持續依賴交易所。
(3)影響
鑒於目前絕大多數中心化交易所（無論交易的是否是證券型代幣）的經營模式都是由交易所控制用戶的加密資產（用戶的加密資產通常存儲在交易所擁有私鑰的帳戶內，用戶只有在向交易所發出提幣請求後才能獲得相關加密資產），因此，根據指引，目前設立在加拿大境內的，或雖未設立在加拿大、但針對加拿大居民提供加密資產交易服務的中心化交易所可能都在加拿大各地證券法規管轄範圍之內。加拿大通過引入「立即交付」這一判斷因素，將該國證券法規的管轄範圍擴大到為非證券型代幣提供交易服務的中心化交易所。
實際上，從客戶資產所面臨的被盜、被挪用、侵占的風險來看，客戶不僅是在交易證券型代幣的中心化交易所上會面臨該等風險，在交易非證券型代幣的中心化交易所上也會面臨同樣的風險，將控制客戶資產的所有加密貨幣交易所（無論其上交易的代幣類型是證券型、功能型、支付型）都納入監管範圍，更有助於全面保護客戶的資產安全，尤其是在相關代幣的定性不甚明確或存在爭議，控制客戶資產的中心化交易所占據主流的現階段。
2.香港所採取的客戶資產保護措施
在將相關加密資產交易所納入監管的國家及地區中，香港是目前為數不多的、就客戶資產保障專門制定明確規則的地區。香港所制定的監管規則既參考了其在傳統證券市場上所採用的客戶資金保障措施，同時也考慮到了加密資產交易所及加密資產在技術上和商業模式上的特殊性，對客戶的資產保護設置了比較有針對性的保障機制。
SFC在立場書中對客戶的資產保護設置了專門章節（主要是第7章），內容全面且詳細，涉及對資產託管實體的要求、獨立帳戶的開立、內控程序（包括帳戶管理、私鑰的管理、錢包儲存技術的採用、提存等）的建立及落實、信息披露、持續監察、保險購買等多個方面。
(1)對託管實體的要求
根據立場書，為了確保客戶資產（包括發幣及虛擬貨幣）與交易所的資產妥善隔離，交易所的運營者應通過其一家子公司以信託方式為其客戶持有客戶資產。接受客戶資產託管的子公司需為交易所運營者的一家全資子公司，在香港成立為法團，且持有香港「信託或公司服務提供者牌照」。
為持有和存放客戶資產目的，該子公司應開立一個或多個獨立帳戶，且該等帳戶需被指定為信託帳戶或客戶帳戶。交易所運營者應確保所有客戶資產均存放在該等獨立帳戶內。該子公司除了依法收取、持有、處理及保障交易所的客戶資產外，不得從事其他業務。
(2)建立並落實相關內部程序
為保障客戶資產，交易所運營者應（並應確保該子公司；下同）建立並落實有關帳戶管理的內部政策及管治程序，包括但不限於交易所不得挪用、買賣、處置客戶資產，在線下存儲98%的客戶加密資產、儘量減少以對線下方式儲存的客戶加密資產進行交易等。
為確保能夠安全產生、儲存及備份加密種子及私鑰，交易所運營者應在私鑰管理方面設立並實施嚴格的內部監控措施及管製程序。
為確保客戶加密資產安全地儲存，交易所運營者評估風險並落實適當的儲存解決方案，尤其是應保持錢包儲存技術是最新的及符合國際最佳作業手法或標準。
為防止盜竊、欺詐及其他不誠信、不當行為導致的損失，交易所運營者應就客戶加密資產的提存制定明晰、充分的程序，並積極執行。
(3)信息披露
交易所應向客戶全面披露其代客戶持有的客戶資產的保管安排（包括各方的權利義務、其儲存客戶資產的方式等），客戶加密資產因黑客入侵、交易所違約等發生損失時的賠償安排，出現硬分叉及空投等事件時客戶加密資產及相關權利的處理等。
(4)持續監察
交易所運營者應委派人員進行定期的內部審計，以監察交易所在執行有關客戶資產保管和處理的規定及程序方面的情況。交易所還應密切監察帳戶活動，就如何處理不活躍或不動帳戶內的客戶資產的提存建立內部程序。
(5)保險購買
交易所運營者應為客戶的加密資產的相關風險（如盜竊、黑客入侵等）購買相關保險，且保障範圍應涵蓋線上儲存的所有加密資產及線下儲存的絕大部分加密資產。
控制著客戶資產而不受監管的中心化加密資產交易所曾經是隱形的風險集散地，隨著全球若干知名、不知名的交易所一次次的爆出安全事故，該等風險也逐漸為更多的用戶和監管層所知。如何保障客戶資產安全，是監管層和交易所都需考慮的問題。
對於一些國家的監管層而言，加拿大對加密貨幣交易所監管範圍的確定標準，香港所採取的具有針對性的監管措施，都為其提供了監管思路和模式方面的參考。對中心化交易所而言，保障客戶的資產安全，長遠來看，不僅是滿足監管的需要，也是交易所留住並贏得更多用戶、持續發展的需要。
作者：張凌，瀚一律師事務所合伙人
聲明：本文僅代表作者個人觀點，不代表所在機構意見。文中內容不構成法律意見和投資建議。如需轉載或引用本文的任何內容，請列明作者姓名。