JCBA เสนอ 347 แนวทางปฏิบัติเพื่อเสริมสร้างความปลอดภัยในการดูแลรักษาคริปโตเคอร์เรนซี

สมาคมธุรกิจสินทรัพย์ดิจิทัลแห่งญี่ปุ่น (JCBA) ได้นำเสนอร่างแนวทางปฏิบัติทางด้านความปลอดภัยจำนวน 347 ข้อสำหรับผู้ให้บริการรับฝากสินทรัพย์ดิจิทัล (Custodians) เมื่อวันที่ 20 ตุลาคม ซึ่งเป็นขั้นตอนที่มุ่งหวังจะสร้างมาตรฐานการควบคุมในเซกเตอร์ที่มีความเสี่ยงเฉพาะตัวซึ่งการตรวจสอบบัญชีแบบดั้งเดิมไม่สามารถครอบคลุมได้ แม้ว่าโครงการนี้จะไม่มีผลผูกพันทางกฎหมาย แต่ก็สะท้อนให้เห็นถึงแรงกดดันด้านกฎระเบียบทั่วโลกที่เพิ่มขึ้นเกี่ยวกับการรับฝากสินทรัพย์ดิจิทัล ซึ่งเป็นบริการสำคัญสำหรับทั้งนักลงทุนสถาบันและนักลงทุนรายย่อย บริบท ญี่ปุ่นเป็นหนึ่งในประเทศแรกๆ ที่มีการกำกับดูแลสินทรัพย์ดิจิทัล โดยมีการอนุมัติกฎหมายบริการการชำระเงิน (Payment Services Act) ในปี 2017 และได้รักษาแนวทางเชิงรุกในการกำกับดูแลเซกเตอร์นี้มาโดยตลอด JCBA ซึ่งเป็นหน่วยงานที่รวบรวมบริษัทในระบบนิเวศท้องถิ่นมากกว่า 100 แห่ง รวมถึง Exchange และผู้ให้บริการรับฝากสินทรัพย์ ได้เป็นตัวแสดงสำคัญในการจัดทำมาตรฐานแบบสมัครใจ ก่อนที่มาตรฐานเหล่านี้จะถูกนำไปใช้โดยหน่วยงานกำกับดูแล เช่น สำนักงานบริการทางการเงิน (FSA) การประกาศนี้เกิดขึ้นในบริบทที่มีการตรวจสอบความปลอดภัยของผู้ให้บริการรับฝากสินทรัพย์เข้มงวดขึ้น หลังจากเหตุการณ์ต่างๆ เช่น การล่มสลายของ FTX ในปี 2022 หรือการถูกแฮ็กของ Poly Network ในปี 2021 ซึ่งเผยให้เห็นช่องโหว่ในการจัดการกุญแจส่วนตัว (Private Keys) ในระดับโลก เขตอำนาจศาลอย่างสหภาพยุโรป (EU) ด้วยกฎระเบียบ MiCA และสหรัฐอเมริกา ด้วยข้อเสนอจาก SEC ได้ก้าวหน้าไปในการสร้างกรอบการทำงานที่กำหนดให้ผู้ให้บริการรับฝากสินทรัพย์ต้องมีการควบคุมที่เข้มงวดขึ้น อย่างไรก็ตาม ในญี่ปุ่น กฎระเบียบปัจจุบันยังไม่ได้ระบุข้อกำหนดทางเทคนิคที่เฉพาะเจาะจงสำหรับบริการเหล่านี้ ซึ่งนำไปสู่การที่ JCBA เสนอกรอบการอ้างอิงนี้ขึ้นมา ตลาดสินทรัพย์ดิจิทัล ตามข้อมูลจาก CryptoScore Pro ณ วันที่ 21 ตุลาคม แสดงให้เห็นถึงการฟื้นตัวเล็กน้อย โดย Bitcoin (BTC) ซื้อขายอยู่ที่ $83,498 (+2.48% ใน 24 ชั่วโมง) และ Ethereum (ETH) อยู่ที่ $2,468 (+3.54%) ส่วนดัชนี Crypto Fear & Greed ซึ่งวัดความเชื่อมั่นของตลาด อยู่ที่ 63/100 ("ความโลภ") สะท้อนถึงการมองโลกในแง่ดีในระดับปานกลางแต่ยังไม่ถึงขั้นเกิดภาวะฟองสบู่ ข้อเท็จจริง ร่างที่เผยแพร่โดย JCBA เมื่อวันที่ 20 ตุลาคม ประกอบด้วยแนวทางปฏิบัติทางด้านความปลอดภัย 347 ข้อ แบ่งออกเป็น 10 ด้าน ตามรายงานของ CoinPost และการยืนยันจาก DiarioBitcoin โดยด้านเหล่านี้ครอบคลุมถึง: การกำกับดูแลกิจการ การบริหารจัดการบุคลากร ความปลอดภัยทางกายภาพของสถานที่ การบริหารความต่อเนื่องทางธุรกิจ (BCP) การจัดการการรับฝากทรัพย์สินต่อ (Sub-custody management) การจัดการกุญแจส่วนตัว (แยกจากการดำเนินการลงนาม) การดำเนินการลงนาม (แยกจากการจัดการกุญแจ) พื้นที่เพิ่มเติมอีกห้าส่วนที่ไม่ได้ระบุรายละเอียดในข้อมูลที่มีอยู่ ข้อเสนอนี้จำแนกบริการรับฝากทรัพย์สินออกเป็นห้าโมเดล ได้แก่: holding , intermediario , suministro , referencia และ otros อย่างไรก็ตาม ตามข้อมูลที่เผยแพร่ เอกสารไม่ได้ระบุว่าภาระผูกพันใดที่สอดคล้องกับแต่ละประเภท หรือจะกำหนดการจำแนกประเภทของผู้ให้บริการอย่างไร พร้อมกับร่างเอกสารนี้ JCBA ได้รวมเครื่องมือที่นำไปใช้ได้จริงสองรายการ ได้แก่ แบบฟอร์มการประเมินตนเองในรูปแบบ Excel และบันทึกสำหรับการจัดทำเอกสารการตรวจสอบ เครื่องมือเหล่านี้มีวัตถุประสงค์เพื่อให้ผู้รับฝากทรัพย์สินตรวจสอบการควบคุมภายในของตน แม้ว่าสมาคมจะชี้แจงว่าเอกสารนี้เป็นเพียง ร่าง และไม่ใช่มาตรฐานบังคับหรือกลไกการรับรอง ทั้งนี้ยังไม่มีการกำหนดตารางเวลาสำหรับการนำไปใช้ และไม่ได้ระบุว่าจุดตรวจสอบทั้ง 347 ข้อ จะถูกบังคับใช้ในอนาคตหรือไม่ หนึ่งในประเด็นที่โดดเด่นที่สุดของเอกสารคือการวิพากษ์วิจารณ์รายงานการรับรองจากบุคคลที่สาม เช่น SOC2 โดย JCBA ให้เหตุผลว่ารายงานเหล่านี้ แม้จะมีประโยชน์ในการประเมินการควบคุมความปลอดภัยทั่วไปขององค์กร แต่ไม่ได้จัดการกับความเสี่ยงเฉพาะของสินทรัพย์ดิจิทัล เช่น การจัดการวงจรชีวิตของกุญแจส่วนตัว สมาคมไม่ได้ปฏิเสธประโยชน์ของ SOC2 โดยสิ้นเชิง แต่ยืนยันว่าลำพังเพียง SOC2 นั้นไม่เพียงพอที่จะรับประกันความปลอดภัยในการรับฝากสินทรัพย์ดิจิทัล ข้อมูลที่มีอยู่ไม่ได้ระบุชัดเจนว่า JCBA วางแผนที่จะดำเนินการประเมินภายนอกสำหรับผู้รับฝากทรัพย์สินหรือไม่ หรือจะตรวจสอบการปฏิบัติตามแนวทางที่เสนออย่างไร นอกจากนี้ยังไม่มีรายละเอียดว่าแบบฟอร์มการประเมินตนเองจะใช้เป็นพื้นฐานสำหรับการตรวจสอบในอนาคต หรือสมาคมจะเผยแพร่ร่างฉบับปรับปรุงหรือไม่ ทำความเข้าใจแนวคิดสำคัญ ผู้รับฝากสินทรัพย์ดิจิทัล (Crypto-asset Custodian) ผู้ดูแลทรัพย์สิน (Custodian) คือหน่วยงานที่จัดเก็บและปกป้องสินทรัพย์ดิจิทัลในนามของบุคคลที่สาม เช่น นักลงทุนหรือบริษัท ซึ่งแตกต่างจาก Exchange ที่เน้นการอำนวยความสะดวกในการซื้อขาย โดยผู้ดูแลทรัพย์สินจะมุ่งเน้นไปที่ความปลอดภัยของเงินทุน เพื่อป้องกันการสูญหายหรือการถูกโจรกรรม ตัวอย่างเช่น กองทุนรวมที่ซื้อ Bitcoin อาจจ้างผู้ดูแลทรัพย์สินเพื่อจัดการกุญแจส่วนตัว (Private Keys) ของสินทรัพย์ เพื่อลดความเสี่ยงจากการถูกแฮ็กหรือความผิดพลาดที่เกิดจากมนุษย์ กุญแจส่วนตัวและการดำเนินการลงนาม (Private Keys and Signing Operations) กุญแจส่วนตัวคือรหัสทางคริปโทกราฟีที่ใช้ในการอนุมัติธุรกรรมบนบล็อกเชน ผู้ที่ควบคุมกุญแจเหล่านี้คือผู้ที่ควบคุมสินทรัพย์ ในขณะที่การดำเนินการลงนามคือกระบวนการทางเทคนิคในการตรวจสอบความถูกต้องของธุรกรรมโดยใช้กุญแจเหล่านั้น การแยกทั้งสองฟังก์ชันออกจากกันตามที่ JCBA เสนอ มีวัตถุประสงค์เพื่อป้องกันไม่ให้บุคคลหรือระบบเพียงระบบเดียวมีสิทธิ์เข้าถึงเงินทุนทั้งหมด ซึ่งจะช่วยลดความเสี่ยงจากการทุจริตหรือข้อผิดพลาด SOC2 รายงาน SOC2 (Service Organization Control 2) คือมาตรฐานการตรวจสอบที่ประเมินการควบคุมด้านความปลอดภัย ความพร้อมใช้งาน ความสมบูรณ์ และความลับของบริษัท ซึ่งออกโดยบริษัทตรวจสอบภายนอกและเป็นที่นิยมในภาคการธนาคารหรือเทคโนโลยี อย่างไรก็ตาม JCBA ระบุว่า SOC2 ไม่ครอบคลุมความเสี่ยงเฉพาะของสินทรัพย์คริปโต เช่น การจัดการกุญแจส่วนตัว ซึ่งจำเป็นต้องมีโปรโตคอลที่เชี่ยวชาญเฉพาะทางมากกว่า รูปแบบการดูแลทรัพย์สิน (Custody Models) รูปแบบทั้งห้าที่เสนอโดย JCBA (holding, intermediario, suministro, referencia และอื่นๆ) สะท้อนถึงความหลากหลายของบริการในภาคส่วนนี้ ตัวอย่างเช่น ผู้ดูแลแบบ holding อาจจัดเก็บสินทรัพย์โดยไม่มีการโต้ตอบกับสินทรัพย์นั้น ในขณะที่ intermediario อาจอำนวยความสะดวกในการทำธุรกรรม การขาดคำนิยามที่ชัดเจนในร่างข้อกำหนดทำให้เกิดข้อสงสัยเกี่ยวกับความรับผิดชอบของแต่ละรูปแบบ ซึ่งเป็นประเด็นที่อาจได้รับการชี้แจงในเวอร์ชันถัดไป บทวิเคราะห์: สิ่งที่เป็นเดิมพัน ข้อเสนอของ JCBA ได้นำเสนอกรอบการรักษาความปลอดภัยที่ไม่เคยมีมาก่อนในการดูแลรักษาทรัพย์สินดิจิทัล (custody) ซึ่งส่งผลโดยตรงต่ออุปสงค์และอุปทานของบริการเฉพาะทาง ด้วยการแยกการจัดการกุญแจ (key management) ออกจากการดำเนินการลงนาม (signing operations)…