XREX共同創辦人暨集團執行長黃耀文（Wayne）出席TAAS「金融機構數位資產實務轉型」年度系列講座時表示，不是合規就安全，更重要的是業者對於風險的掌控。XREX集團／提供
立法院今年6月30日三讀通過《虛擬資產服務法》，台灣虛擬資產產業正式邁入專法時代，目前共有8家通過金管會登記制的合規虛擬資產服務商（Virtual Asset Service Provider，VASP）， 唯有取得主管機關許可才能夠營運。但XREX共同創辦人暨集團執行長黃耀文（Wayne）認為，取得許可，並不代表平台從此不再面臨安全與營運風險，重點在於業者對風險的控管。
黃耀文出席TAAS「金融機構數位資產實務轉型」年度系列講座時表示，不是合規就安全，更重要的是業者對於風險的掌控。他指出，從駭客攻擊、使用者資產保管、不法金流，到銀行合作及跨境款項能否順利到帳，都需要業者在符合法規之外，建立持續辨識與管理風險的能力。合規只是營運的起點，真正決定VASP業者能否長期經營的，是能否提早看見問題，並在風險演變成損失前採取行動。
即使交易所完成主管機關要求的法遵程序，一旦系統遭到駭客攻擊，使用者資產仍可能受損，而已經發生的損失也無法單靠法規挽回。黃耀文表示，資產保管是交易所最基礎、也最不能妥協的一層。錢包架構、金鑰管理及權限設計，都取決於業者本身的工程與資安能力。法規可以訂出業者應達到的標準，卻無法代替業者把系統及日常管理工作做好。
在不法金流防制方面，即使業者導入Sumsub、TRM Labs與Chainalysis等第三方金流追蹤工具，逐筆掃描交易，也遵循防制洗錢金融行動工作組織的「轉帳規則」（Travel Rule），在虛擬資產轉帳時傳遞收付款人資訊，仍無法完全排除不法資金流入平台的可能性。
工具與規範可以協助業者辨識風險，卻不能取代資產保管、金流監控及事件應變能力，相關事件除了可能引發司法調查與商譽風險，也可能影響合作銀行是否願意繼續提供新台幣出入金服務，以及跨境款項能否順利到帳。黃耀文強調，符合監管要求與持續管理實際風險，是兩個緊密相連卻又不同層次的工作。前者是合法營運的基本條件；後者則決定平台是否有能力長期、安全地提供服務，兩者缺一不可。
XREX集團以資安團隊起家，近期集團資安長Sun Huang率領資安團隊參加國際大型語言模型（LLM）智慧合約漏洞辨識競賽OneSavie Bastet Kaggle Competition，在全球221支參賽隊伍中奪下第一名，並成功辨識主辦單位評測案例中99.5％的智慧合約漏洞。這項成果也顯示，資安能力不只來自制度與規範，更仰賴團隊持續累積技術、流程及實戰經驗。
黃耀文表示，資安工作的核心，不是先假設系統處於安全狀態，而是預設系統可能已經遭到入侵，後門或木馬或許早已存在，只是尚未被發現或啟動，這套思維也應延伸至金融與區塊鏈服務，若平台沒有持續檢視帳戶及交易行為，可疑帳戶與異常金流就可能長期累積，成為日後才爆發的「未爆彈」。
此外，平台面對的風險也不只來自駭客。受詐騙者可能依照犯罪集團指示在平台買幣；犯罪者可能將不法所得分批換回新台幣；也可能有人為了逃漏稅或將資產移往境外，持續買入穩定幣並轉出。若未能及早辨識，相關交易模式可能在平台內累積5年、10年，最終衍生司法調查、稅務及品牌風險。
黃耀文提醒，平台承擔的風險與單筆交易帶來的收入，往往不成比例。假設一筆交易僅為平台帶來5個基點的手續費，也就是0.05％，以1萬美元交易額估算，平台收入約為5美元。然而，若這筆金流日後引發調查，業者需要投入的法遵人力、律師費用及商譽成本，可能是原始收入的數千倍。因此，業者不能只看一筆交易可以帶來多少收入，也必須評估交易背後可能產生的長期風險。
風險不可能完全消失，業者可以透過錢包管理、金流監控及AI等技術降低風險，但每增加一層審查，都會提高營運成本，也可能影響使用者體驗。例如，若認識你的客戶（Know Your Customer，KYC）審查需要兩天才能完成，使用者可能直接放棄註冊；如果每一筆交易都要同時調用多套監控工具，營運成本也可能提高到業者難以負擔的程度。
業者真正的工作，是在降低風險、控制成本及維持使用者體驗之間，找到能夠長期運作的做法，同時避免平台遭受攻擊，或被詐騙、洗錢及其他不法行為利用。黃耀文認為，專法時代下，VASP業者需要建立的，不是一份一次完成的合規清單，而是一套能持續辨識、評估及降低風險的能力。
金管會8月4日宣布，虛擬資產「轉帳規則」（Travel Rule）將分兩階段上路。第一階段預計自2026年10月起，先適用於台灣境內VASP之間的虛擬資產移轉；若單筆金額超過新台幣3萬元，匯款人為自然人時，除既有身分資訊外，還須提供出生日期及住所地址，接收款項的VASP也須完成資料核對，以提高交易透明度與可追溯性；第二階段預計於2027年底，進一步擴及境內與境外 VASP之間的跨境移轉。
這項制度代表台灣虛擬資產監管正從業者登記及內控制度，進一步延伸至交易資訊的傳遞、核對與保存。對業者而言，未來不只要完成法規要求，也必須具備身分驗證、資料治理、系統串接及持續風險控管能力，確保轉帳資訊能在不同平台之間準確、安全地流通。合規是起點，能否在安全、成本及使用者體驗之間做出可持續的選擇，才是《虛擬資產服務法》逐步落地後，VASP業者能否長期經營的真正考驗。
2026/08/11 11:03
轉載自聯合新聞網: https://udn.com/news/story/7239/9683805?from=udn-ch1_breaknews-1-99-news
Post gallery
