會計師看時事／虛擬資產保管 關鍵在信任

從銀行保管試辦，到《虛擬資產服務法》將保管列為獨立業務類別，虛擬資產保管正逐漸成為金融機構進入新市場的重要切入點。銀行雖具備資產保全、信託、帳務與委外管理經驗，但若將保管理解為管理私鑰與建置冷錢包，就低估了真正的挑戰。

虛擬資產保管的核心，不只是保護一組密碼，而是確保資產不會在未經授權下移轉，並能在系統事故、委外失效或保管機構退出時，證明客戶資產仍然存在、權利歸屬清楚且可完整返還。

本質上，這是一套建立與維持信任的機制。

近年國際監理重點已逐漸從資安防護，擴展至資產隔離、可返還性與保管責任。日本、新加坡及香港強調高比例冷錢包儲存以降低線上曝險；歐盟《加密資產市場法規》（MiCA）要求客戶資產隔離、客戶權利登錄與返還能力；美國則主要透過聯邦銀行監理與州法規範，要求相關機構建立適當的治理、風險管理與內部控制機制。制度設計不同，方向卻一致：冷錢包雖然重要，但並不足以構成完整的保管制度。

機構級保管至少要回答四個關鍵問題。第一，客戶資產能否在法律、帳務與鏈上與機構自有資產分離，並於破產時獲得保護。第二，私鑰與簽章權限如何產生、分割、備份、輪替及銷毀，是否具備有效制衡。

第三，每筆存入、提領與簽章指令，能否經過獨立授權與異常監控。第四，鏈上餘額、客戶部位與會計帳務能否持續勾稽，並於差異發生時立即處理。

這四項檢視，實質涵蓋了法律權利、權限治理、交易控管與帳務真實性四大核心風險。此外，保管還須面對區塊鏈分叉、空投權利歸屬、私鑰永久遺失及境外次保管機構失效等傳統金融較少遇到的情境，考驗的不只是技術，更是治理與制度設計。

觀察台灣現行制度，雖然相關規範已要求一定比例的冷錢包配置及指定資訊安全驗證，顯示資產配置與資安能力均是必要條件，但符合法規只是最低標準。證書與制度文件證明的是控制設計；簽核軌跡、鏈上紀錄與持續勾稽，才能證明控制真正執行。

技術可以委外，但金融機構對客戶資產保管的最終責任與監督義務無法完全移轉。金融機構仍須保有理解、監督、查核及必要時接管服務的能力。

務實的起手式，不是急著建置錢包，而是在保管業務開辦前完成差異分析，將保管模式、冷熱錢包配置、委外策略及損失承擔提交治理層決策。這些看似技術性的選擇，本質上都是風險承擔的治理判斷。

虛擬資產保管的本質，不是保存私鑰，而是保存信任。真正的競爭優勢，不在於誰先推出服務，而在於誰能持續證明資產存在、權利歸屬明確、控制有效且事故可復原。如此，虛擬資產保管才能真正成為金融機構跨足新市場的信任基石，擺脫「高風險的資訊科技專案」的宿命。