在加密货币资产投资领域，注册投资顾问（RIA）不仅面临监管框架尚不清晰的问题，还得应对托管服务选择有限的挑战。更为复杂的是，加密货币资产的所有权和转移风险与传统资产截然不同，这为RIA的内部团队——包括运营、合规、法律等部门——带来了巨大压力。他们需要花费大量精力寻找符合期望的第三方托管机构，但往往难以找到能够完全支持资产经济和治理权利的托管方，最终可能导致RIA不得不自行保管这些资产。当前的加密货币托管现状因此带来了独特的法律和运营风险以及不确定性。
行业需要的是一种基于原则的方法，为专业投资者解决这一关键问题，帮助他们安全地代表客户保管加密货币资产。在回应美国证券交易委员会（SEC）近期关于加密货币资产托管的信息请求时，我们提出了一系列原则。这些原则若得以实施，将把《投资顾问法》托管规则的目标——安全性、定期披露和独立验证——延伸至代币这一新兴资产类别。
加密货币资产的独特性
持有传统资产意味着持有人对其拥有控制权，而其他任何人则没有。但加密货币资产不同。多个实体可能掌握与一组加密货币资产相关的私钥，多个人也可能能够转移这些资产，无论合同权利如何规定。
此外，加密货币资产通常具有多种内在的经济和治理权利，这些权利是资产的核心组成部分。传统的债务或股权证券可以“被动”地获得收入（如股息或利息），即持有人在购买后无需转移资产或采取进一步行动。相比之下，加密货币资产持有人可能需要主动采取行动才能解锁与资产相关的某些收入流或治理权利。根据第三方托管机构的能力，RIA可能不得不暂时将这些资产移出托管以行使这些权利。例如，某些加密货币资产可以通过质押或收益 farming 获得收入，或者可以对协议或网络升级的治理提案行使投票权。这些与传统资产的差异为加密货币资产托管带来了新的挑战。
核心托管原则
以下原则旨在为RIA厘清代币托管的核心要求，同时确保他们履行保护客户资产的职责。当前，专注于加密货币资产的合格托管人（如银行或经纪交易商）市场非常有限；因此，我们的主要关注点在于托管实体是否能够满足必要的实质性保护措施，而不仅仅是其在《投资顾问法》下的合格托管人法律地位。
我们还建议，当无法获得符合这些实质性保护措施的第三方托管解决方案，或者这些解决方案不支持经济和治理权利时，RIA可以选择自我托管，前提是他们能够满足相同的保护标准。
我们的目标不是扩大托管规则的范围 beyond securities。这些原则适用于作为证券的加密货币资产，并为其他资产类型设定了满足RIA受托责任的标准。RIA应尽量在类似条件下维护非证券类加密货币资产，并记录所有资产的托管实践，包括不同类型资产托管实践之间存在重大差异的任何原因。
原则一：法律地位不应决定加密货币托管人的资格
法律地位及其相关的保护措施对托管人的客户来说很重要，但在加密货币资产托管方面并不能说明全部问题。例如，联邦特许银行和经纪交易商受到托管法规的约束，为客户提供了重要保护，但州特许信托公司和其他第三方托管人也可以提供类似水平的保护（我们将在原则二中进一步讨论）。
托管人的注册状态不应是判断其是否有资格托管加密货币资产证券的唯一标准。在加密货币背景下，托管规则的“合格托管人”类别应扩展至包括：
- 州特许信托公司（这意味着它们不需要满足《投资顾问法》“银行”定义中的标准，只需受到州或联邦银行监管机构的监督和检查）。
- 任何根据（拟议的）联邦加密货币市场结构立法注册的实体。
- 任何其他实体，无论其注册状态如何，只要能够证明其符合严格的客户保护标准。
原则二：加密货币托管人应建立适当的保护措施
无论使用何种技术工具，加密货币托管人都应采用某些保护措施来保障加密货币资产的安全。这些措施包括：
- 权力分离：加密货币托管人不应能够在没有RIA合作的情况下将加密货币资产转移出托管（例如，通过签署交易和/或基于设备的身份验证）。
- 资产隔离：加密货币托管人不应将为RIA持有的任何资产与为其他实体持有的资产混合。然而，注册经纪交易商可以使用单一的 omnibus 钱包，前提是它始终保持这些资产的所有权最新记录，并及时向相关RIA披露这种混合事实。
- 托管硬件来源：加密货币托管人不应使用任何会带来安全风险或 compromise 风险的托管硬件或其他工具。
审计：加密货币托管人应每年至少进行一次财务控制和技术审计。此类审计应包括：
由PCAOB注册审计师进行的财务控制审计：
- 服务组织控制（SOC）1审计；
- SOC 2审计；以及
- 从持有人角度识别、衡量和呈现加密货币资产；
技术审计：
- ISO 27001认证；
- 渗透测试（pen test）；以及
- 灾难恢复程序和企业连续性计划测试。
- 保险：加密货币托管人应拥有足够的保险 coverage（包括“ umbrella” coverage），或者，如果无法获得保险，应建立足够的储备金，或 optionally 两者的某种组合。
- 披露：加密货币托管人必须每年向RIA提供一份与其加密货币资产托管相关的主要风险列表，以及其相关的书面监督程序和内部控制，以减轻这些风险。加密货币托管人应每季度评估一次，并确定是否有必要更新披露。
- 托管地点：加密货币托管人不应在任何地方法律规定此类托管资产在托管人破产时将属于破产财产的地点托管加密货币资产。
此外，我们建议加密货币托管人在每个阶段实施与以下流程相关的保护措施：
- 准备阶段：审查和评估要托管的加密货币资产——包括密钥生成过程和交易签名程序，是否由开源钱包或软件支持，以及密钥管理过程中使用的每个硬件和软件的来源。
- 密钥生成：在此过程的各个层面都应使用加密，并且需要多个加密密钥来生成一个或多个私钥。密钥生成过程应该是“水平”的（即同一级别的多个加密密钥持有者），以及“垂直”的（即多个级别的加密）。最后，Quorum 要求还应要求验证器的物理存在，并确保其安全并受到监控以防止干扰。
- 密钥存储：切勿以明文形式存储密钥，仅以加密形式存储。密钥必须通过地理位置或不同的访问个体进行物理分离。如果使用硬件安全模块（或类似设备）来维护密钥副本，则必须满足美国联邦信息处理标准（FIPS）安全评级。应实施严格的物理隔离和授权措施以确保 airgapping。加密货币托管人应保持至少两级加密的冗余，以便在自然灾害、停电或财产 destruction 时能够维持运营。
- 密钥使用：钱包应要求身份验证；换句话说，它们应验证用户身份，并确保只有授权方才能访问钱包内容。钱包应使用成熟的开源密码学库。另一个最佳实践是避免将密钥用于多个目的。例如，应分别保留用于加密和签名的密钥。这遵循了“最小权限”原则，以防 compromise，意味着对任何资产、信息或操作的访问应仅限制在系统工作绝对需要的各方或代码。
原则三：加密货币托管规则应允许RIA行使与托管加密货币资产相关的经济或治理权利
RIA应能够行使与托管加密货币资产相关的经济或治理权利，除非客户另有指示。在SEC上一届政府领导下，许多RIA采取了保守策略，鉴于代币分类的不确定性，将所有加密货币资产交由合格托管人保管（除非没有可用托管人）。正如我们之前提到的，可供选择的托管人市场有限，这通常导致只有一家合格托管人愿意支持特定资产。
在这种情况下，RIA可以请求行使经济或治理权利，但加密货币托管人可能基于其内部资源或其他因素选择不提供这些权利。反过来，RIA觉得没有权力选择其他第三方托管人或自我托管以行使这些权利。这些经济和治理权利的示例包括质押、收益 farming 或投票。
根据这一原则，我们认为RIA应选择符合相关保护措施的第三方加密货币托管人，这些保护措施允许RIA行使与托管加密货币资产相关的经济或治理权利。如果第三方无法同时满足这两个要求，RIA为行使经济或治理权利而暂时将资产转移至自我托管不应被视为移出托管——即使资产被部署到任何非托管协议或智能合约中。
所有第三方托管人应尽最大努力提供让RIA在资产仍处于托管时行使这些权利的能力，并应在RIA授权时，被允许采取商业上合理的行动，以在链上行使与资产相关的任何权利。这包括明确授权将任何加密货币资产委托给RIA的钱包，以实现与资产相关的任何权利。
在将任何加密货币资产移出托管以行使与该资产相关的权利之前，RIA或托管人（如适用）必须首先以书面形式合理确定是否可以在不移除资产的情况下行使这些权利。
原则四：加密货币托管规则应灵活允许最佳执行
RIA在交易资产方面负有最佳执行责任。为此，RIA可以将资产转移至加密货币交易平台以确保该资产的最佳执行，无论资产或托管人的状态如何，前提是RIA已采取必要步骤确保交易场所的弹性和安全性，或者，RIA已将加密货币资产转移至在加密货币市场结构立法最终确定后受该立法监管的实体。
将加密货币资产转移至交易场所不应被视为从托管中 withdrawal，前提是RIA已确定将加密货币资产转移至此类场所以获得最佳执行是 advisable 的。这将要求RIA合理确定该场所适合最佳执行。如果交易无法在该场所 duly 执行，资产应立即返回加密货币托管人的托管中。
原则五：RIA应在特定情况下被允许自我托管
虽然使用第三方托管人应仍然是加密货币资产的首选，但在以下情况下，应允许RIA自我托管加密货币资产：
- RIA确定没有能够满足其所需保护措施的第三方托管人可用于托管该加密货币资产；
- RIA自身的托管安排至少与合理可用的第三方托管人一样具有保护性；
- 自我托管是优化行使与加密货币资产相关的任何经济或治理权利所必需的。
当RIA出于这些原因之一决定自我托管加密货币资产时，RIA必须每年确认证明自我托管合理的情况未发生变化，向客户披露自我托管情况，并使此类加密货币资产接受托管规则审计要求，审计师可以确认资产与RIA的其他资产隔离并充分安全。
常见问题
什么是注册投资顾问（RIA）在加密货币托管中的主要挑战？
RIA面临监管不明确和合格托管人选择有限的双重挑战。加密货币资产的独特所有权和转移风险增加了复杂性，导致他们在寻找符合期望的第三方托管机构时花费大量精力，有时甚至不得不自行保管资产，从而带来法律和运营风险。
为什么加密货币资产托管需要新的原则？
传统托管规则针对的是传统资产，而加密货币资产具有独特的经济和治理权利，如质押和投票，这些权利需要主动管理。现有规则无法充分覆盖这些特性，因此需要基于实质性保护而非 rigid 分类的新原则，以确保客户资产安全并充分利用资产特性。
自我托管在什么情况下被允许？
自我托管在以下情况下被允许：没有第三方托管人能满足所需的保护措施；RIA自身的托管安排至少与可用第三方一样安全；或自我托管是行使资产经济或治理权利所必需的。RIA必须每年确认情况未变，向客户披露，并接受审计以确保资产隔离和安全。
如何确保加密货币托管人的安全性？
托管人应实施权力分离、资产隔离、严格审计（财务和技术）、足够保险、定期披露风险以及安全的密钥管理流程（包括加密生成、存储和使用）。这些措施共同保障资产安全，减少未经授权访问或转移的风险。
经济或治理权利行使是否会影响托管状态？
不会。只要RIA合理确定行使权利的必要性，即使资产暂时移出托管以参与质押或投票，也不应被视为脱离托管状态。这确保了RIA能够充分利用资产特性而不违反托管规则。
结语
基于原则的加密货币托管方法确保RIA能够履行其受托责任，同时适应加密货币资产的独特特性。通过专注于实质性保护而非 rigid 分类，这些原则为保护客户资产和解锁资产特性提供了一条务实的前进道路。👉 探索更多资产托管策略 随着监管环境的发展，植根于这些保护的清晰标准将使RIA能够负责任地管理加密货币投资。