JCBA đề xuất 347 thực hành để tăng cường lưu ký tiền điện tử

Hiệp hội Kinh doanh Tài sản Mã hóa Nhật Bản (JCBA) đã trình bày vào ngày 20 tháng 10 một bản dự thảo với 347 thực hành bảo mật dành cho các đơn vị lưu ký tài sản mã hóa, một bước đi nhằm tiêu chuẩn hóa các biện pháp kiểm soát trong một lĩnh vực có những rủi ro đặc thù không được bao hàm trong các cuộc kiểm toán truyền thống. Sáng kiến này, mặc dù không mang tính ràng buộc, phản ánh áp lực quản lý ngày càng tăng trên toàn cầu đối với việc lưu ký tài sản kỹ thuật số, một dịch vụ then chốt cho các nhà đầu tư tổ chức và cá nhân. Bối cảnh Nhật Bản, một trong những quốc gia đầu tiên quản lý tài sản mã hóa — với việc thông qua Luật Dịch vụ Thanh toán vào năm 2017 — đã duy trì cách tiếp cận chủ động trong việc giám sát lĩnh vực này. JCBA, tổ chức tập hợp hơn 100 doanh nghiệp trong hệ sinh thái địa phương, bao gồm các sàn giao dịch và nhà cung cấp dịch vụ lưu ký, đã là một tác nhân chính trong việc xây dựng các tiêu chuẩn tự nguyện trước khi chúng được các cơ quan quản lý như Cơ quan Dịch vụ Tài chính (FSA) áp dụng. Thông báo này diễn ra trong bối cảnh sự an toàn của các đơn vị lưu ký bị giám sát chặt chẽ hơn sau các sự cố như sự sụp đổ của FTX vào năm 2022 hoặc vụ hack Poly Network vào năm 2021, những sự việc đã phơi bày các lỗ hổng trong quản lý khóa riêng tư. Trên toàn cầu, các khu vực pháp lý như EU — với quy định MiCA — và Hoa Kỳ — với các đề xuất từ SEC — đã tiến tới các khung pháp lý yêu cầu kiểm soát chặt chẽ hơn đối với các nhà cung cấp dịch vụ lưu ký. Tuy nhiên, tại Nhật Bản, các quy định hiện hành không chi tiết các yêu cầu kỹ thuật cụ thể cho các dịch vụ này, điều này đã dẫn đến việc JCBA đề xuất một khung tham chiếu. Thị trường tài sản mã hóa, theo dữ liệu từ CryptoScore Pro tính đến ngày 21 tháng 10, cho thấy sự phục hồi nhẹ, với Bitcoin (BTC) giao dịch ở mức $83.498 (+2,48% trong 24 giờ) và Ethereum (ETH) ở mức $2.468 (+3,54%). Chỉ số Crypto Fear & Greed, đo lường tâm lý thị trường, nằm ở mức 63/100 ("tham lam"), phản ánh sự lạc quan vừa phải nhưng không quá hưng phấn. Các sự thật Bản dự thảo do JCBA công bố ngày 20 tháng 10 bao gồm 347 thực hành bảo mật được chia thành mười lĩnh vực, theo báo cáo từ CoinPost và xác nhận bởi DiarioBitcoin . Các lĩnh vực này bao gồm: Quản trị doanh nghiệp. Quản lý nhân sự. An ninh vật lý của cơ sở vật chất. Kế hoạch duy trì hoạt động kinh doanh (BCP). Quản lý lưu ký phụ. Quản lý khóa riêng (tách biệt với các hoạt động ký). Hoạt động ký (khác với quản lý khóa). Năm lĩnh vực bổ sung không được chi tiết trong thông tin có sẵn. Đề xuất phân loại các dịch vụ lưu ký thành năm mô hình: holding , trung gian , cung cấp , tham chiếu và khác . Tuy nhiên, tài liệu không nêu rõ nghĩa vụ nào tương ứng với mỗi danh mục cũng như cách xác định phân loại của một nhà cung cấp, theo thông tin đã công bố. Cùng với bản dự thảo, JCBA đã bao gồm hai công cụ thực tế: một biểu mẫu tự đánh giá định dạng Excel và một sổ đăng ký để ghi chép các kiểm tra. Các công cụ này nhằm giúp các bên lưu ký xem xét các kiểm soát nội bộ của họ, mặc dù hiệp hội đã làm rõ rằng tài liệu này là một bản dự thảo chứ không phải là một quy định bắt buộc hay một cơ chế chứng nhận. Chưa có lịch trình triển khai cụ thể, cũng như chưa có chỉ dẫn liệu 347 điểm kiểm tra có trở thành yêu cầu bắt buộc trong tương lai hay không. Một trong những khía cạnh nổi bật nhất của tài liệu là sự phê bình đối với các báo cáo đảm bảo từ bên thứ ba, chẳng hạn như SOC2 . JCBA lập luận rằng những báo cáo này, mặc dù hữu ích để đánh giá các kiểm soát an ninh doanh nghiệp chung, nhưng không giải quyết được các rủi ro cụ thể của tài sản mã hóa, chẳng hạn như quản lý vòng đời của khóa riêng. Hiệp hội không loại trừ hoàn toàn tính hữu ích của SOC2, nhưng nhấn mạnh rằng chúng không đủ để tự đảm bảo an ninh trong việc lưu ký tài sản kỹ thuật số. Thông tin hiện có không làm rõ liệu JCBA có kế hoạch thực hiện các đánh giá bên ngoài đối với các bên lưu ký hay không và cách xác minh việc tuân thủ các thực hành đề xuất. Tài liệu cũng không chi tiết liệu biểu mẫu tự đánh giá sẽ làm cơ sở cho các cuộc kiểm toán trong tương lai hay hiệp hội sẽ công bố các phiên bản cập nhật của bản dự thảo. Hiểu các khái niệm chính Bên lưu ký tài sản mã hóa Một bên lưu ký là một thực thể lưu trữ và bảo vệ các tài sản kỹ thuật số thay mặt cho bên thứ ba, chẳng hạn như các nhà đầu tư hoặc doanh nghiệp. Khác với một sàn giao dịch (exchange), nơi tạo điều kiện cho việc mua bán, bên lưu ký tập trung vào tính bảo mật của quỹ, tránh việc bị mất hoặc bị đánh cắp. Ví dụ, một quỹ đầu tư mua Bitcoin có thể thuê một bên lưu ký để quản lý các khóa riêng (private keys) của tài sản, nhằm giảm thiểu rủi ro bị hack hoặc sai sót do con người. Khóa riêng và các hoạt động ký Khóa riêng là các mã mật mã cho phép ủy quyền các giao dịch trên blockchain. Ai kiểm soát khóa riêng, người đó kiểm soát tài sản. Ngược lại, các hoạt động ký là quy trình kỹ thuật mà qua đó một giao dịch được xác thực bằng cách sử dụng các khóa này. Việc tách biệt hai chức năng này — như đề xuất của JCBA — nhằm tránh việc một người hoặc một hệ thống duy nhất có quyền truy cập toàn diện vào quỹ, từ đó giảm thiểu rủi ro gian lận hoặc sai sót. SOC2 Báo cáo SOC2 (Service Organization Control 2) là một tiêu chuẩn kiểm toán đánh giá các kiểm soát về bảo mật, tính khả dụng, tính toàn vẹn và tính bảo mật của một doanh nghiệp. Nó được cấp bởi các công ty bên ngoài và phổ biến trong các lĩnh vực như ngân hàng hoặc công nghệ. Tuy nhiên, JCBA chỉ ra rằng SOC2 không bao quát các rủi ro đặc thù của tài sản mã hóa, chẳng hạn như quản lý khóa riêng, vốn đòi hỏi các giao thức chuyên biệt hơn. Các mô hình lưu ký Năm mô hình được JCBA đề xuất (holding, trung gian, cung cấp, tham chiếu và các mô hình khác) phản ánh sự đa dạng của các dịch vụ trong lĩnh vực này. Ví dụ, một bên lưu ký holding có thể lưu trữ tài sản mà không tương tác với chúng, trong khi một trung gian có thể tạo điều kiện cho các giao dịch. Việc thiếu định nghĩa rõ ràng trong bản dự thảo gây ra những nghi ngờ về trách nhiệm của mỗi mô hình, một khía cạnh…