FATF menerbitkan Laporan Pembaruan Terarah mengenai Pelaksanaan Standard FATF untuk Aset Virtual dan Penyedia Perkhidmatan Aset Virtual: Interpretasi Kemajuan Pengawasan Global dan Ancaman Risiko

Pada 16 Julai, Task Force Tindakan Kewangan (FATF) mengeluarkan Laporan Pembaruan Tertujuan Ketujuh mengenai Pelaksanaan Standard FATF untuk Aset Virtual dan Penyedia Perkhidmatan Aset Virtual, laporan ini berdasarkan soal selidik terhadap 147 yurisdiksi, 149 laporan penilaian saling, serta hasil mesyuarat VACG, menilai secara sistematik kemajuan pelaksanaan R.15 secara global, serta mengungkap ancaman risiko seperti penipuan skema "pig butchering", pencurian aset oleh organisasi perompak Korea Utara, penyalahgunaan stablecoin, transaksi P2P dompet tanpa pengurusan, penyedia perkhidmatan aset virtual luar negara, dan kekosongan pengawasan DeFi.

Beosin akan mentafsirkan kandungan utama laporan ini untuk membantu pembaca memahami dengan cepat perkembangan kesesuaian aset digital global dan tren ancaman risiko, serta meningkatkan kesedaran dan kemampuan menghadapi risiko kesesuaian berkaitan aset digital.

R. 15 adalah Cadangan ke-15 dalam "Standard Antarabangsa untuk Memerangi Pencucian Wang, Pembiayaan Teroris, dan Pembiayaan Penyebaran: Cadangan FATF", yang secara utama menghendaki negara-negara dan institusi kewangan untuk mengenal pasti, menilai, dan mengawal risiko pencucian wang, pembiayaan teroris, dan pembiayaan penyebaran yang timbul daripada teknologi baharu. Pada tahun 2018, FATF mengemaskini R.15 untuk memasukkan aset maya (VA) dan penyedia perkhidmatan aset maya (VASP) dalam lingkungan keperluan anti-pencucian wang, anti-pembiayaan teroris, dan anti-pembiayaan penyebaran.

1.1 Data penilaian kepatuhan global

Pada April 2026, 149 yurisdiksi telah menerima penilaian kesesuaian R.15. Keadaan pelaksanaan global sedikit membaik berbanding 2025:

- Penuh pematuhan (Compliant): Hanya 1 yurisdiksi (Bahama) - Sebahagian besar pematuhan (Largely Compliant): Meningkat dari 29% pada 2025 kepada 34% (51) - Sebahagian pematuhan (Partially Compliant): Menurun dari 50% kepada 43% (64) - Tidak pematuhan (Non Compliant): Meningkat dari 20% kepada 22% (33)

Laporan menunjukkan bahawa pelaksanaan berbeza secara signifikan antara wilayah, dan yurisdiksi dengan kapasiti lebih rendah masih menghadapi kesukaran besar dalam melaksanakan R.15.

1.2 Cabaran yang dihadapi dalam penilaian risiko VA dan VASP

Laporan menunjukkan bahawa 86% yurisdiksi yang disurvei (124 daripada 145) telah menyelesaikan penilaian risiko pencucian wang, pendanaan terorisme, dan pendanaan senjata pemusnah massal bagi industri aset virtual, meningkat drastik daripada 76% pada 2025 (124 daripada 163). Namun, kebanyakan yurisdiksi tidak mampu menerapkan langkah-langkah pencegahan dan pengawasan yang sesuai berdasarkan hasil penilaian risiko tersebut. Data saling penilaian menunjukkan bahawa hanya 48 daripada 149 yurisdiksi yang disurvei telah sepenuhnya / pada dasarnya menyelesaikan penilaian risiko R15.3 dan mengambil pendekatan berdasarkan risiko. Ini menunjukkan bahawa penilaian risiko di banyak negara masih berhenti pada tahap pelaporan, tanpa mekanisme atau pelaksanaan yang jelas untuk mengubah hasil penilaian menjadi langkah-langkah pengawasan yang konkret.

1.3 Pemilihan laluan pengawasan VASP dan cabaran yang sepadan

Peratusan yurisdiksi yang menunjukkan lintasan pengawasan yang jelas meningkat dari 82% pada 2025 kepada 89% pada 2026 (128 daripada 144); yurisdiksi yang belum menentukan kerangka pengawasan menurun dari 18% kepada 11% (16). Mod pengawasan yang telah ditentukan termasuk:

(1) Membenarkan VASP beroperasi secara sah: 66% (95)

(2) Larangan sepenuhnya atau sebahagian terhadap VASP: 23%, menunjukkan trend peningkatan tahunan (2023: 11% → 2024: 14% → 2025: 20% → 2026: 23%)

Sebahagian cara larangan yang khas termasuk melarang aset digital digunakan sebagai alat pembayaran, tetapi membenarkan transaksi pelaburan dalam kerangka yang dikawal; pengekangan tambahan terhadap aktiviti berisiko tinggi seperti mata wang privasi, penambangan, dan penyimpanan.

Perlu diperhatikan bahawa terdapat jurang besar dalam pelaksanaan model pengawasan yang melarang VASP. Di antara 33 yurisdiksi yang melarang aset virtual secara menyeluruh/sebahagian, hanya 6 yang memenuhi kepatuhan asas; hanya 1 yurisdiksi larangan yang melaksanakan sepenuhnya keperluan penilaian risiko R15.3. Jika larangan tidak dapat dilaksanakan secara efektif tanpa mekanisme pengenalan dan penegakan hukum yang aktif, masalah pasaran gelap dan platform luar negara akan terus berterusan, meningkatkan risiko kewangan global.

Di wilayah yang mengizinkan operasi VASP secara sah, sebanyak 76 wilayah telah menyelesaikan penerbitan lesen atau pendaftaran VASP, tanpa peningkatan berbanding tahun 2025. Standard FATF memerlukan wilayah untuk mewajibkan pendaftaran/lesen terhadap penyedia perkhidmatan yang ditubuhkan dan dioperasikan secara tempatan; di antara 114 wilayah yang telah membina sistem lesen, 44% hanya merangkumi penyedia perkhidmatan tempatan, manakala 34% menggunakan pendekatan pengawasan yang lebih luas, memerlukan penyedia perkhidmatan luar negara yang memenuhi syarat untuk mendaftar secara tempatan. Saat ini, kebanyakan negara menghadapi kesukaran dalam mengenal pasti entiti sebenar yang mengoperasikan perniagaan aset digital.

1.4 Undang-undang Travel Rule dipermaju dengan cepat, tetapi penegakan hukum tertinggal

Travel Rule memperluaskan keperluan transparansi pembayaran FATF (Cadangan 16) ke bidang aset virtual: penyedia perkhidmatan aset virtual dan institusi kewangan mesti mengumpul, menyimpan, dan menghantar maklumat lengkap penghantar dan penerima secara serta-merta dan selamat semasa pemindahan.

Undang-undang Travel Rule telah dipercepat pelaksanaannya, dengan 83% wilayah yurisdiksi yang disurvei (91 daripada 109) telah meluluskan undang-undang Travel Rule, berbanding hanya 73% pada 2025. Namun, 55 wilayah yurisdiksi yang telah meluluskan undang-undang belum menjalankan sebarang pemeriksaan peraturan atau tindakan penegakan hukum berkaitan Travel Rule. Kebanyakan wilayah yurisdiksi baru sahaja melaksanakan undang-undang tersebut, dan sistem peraturan masih dalam proses pembinaan, dengan penegakan hukum yang tertinggal jauh.

2.1 Aset maya digunakan untuk jenayah hulu, pencucian wang, pembiayaan teror, dan pembiayaan penyebaran

Kawasan penipuan di Asia Tenggara menjadi sumber utama dana haram global dalam aset virtual, dengan penipuan pelaburan "scam babi" sebagai contoh klasik, menghasilkan pendapatan haram bernilai puluhan bilion dolar setiap tahun. Geng jenayah membersihkan dana melalui dompet bukan terpusat bertingkat, OTC, dan saluran kewangan bawah tanah wilayah. Laporan ini menggambarkan risiko sistemik kawasan dengan pengawasan anti pencucian wang yang lemah, dengan contoh kumpulan kewangan besar di Kemboja (Huiwang Group) yang membersihkan sekurang-kurangnya 40 bilion dolar dana haram dan dimanfaatkan oleh rangkaian perompak Korea Utara; entiti tanpa pengawalan KYC boleh memberikan saluran pencucian wang serentak kepada pelbagai pihak haram.

Laporan melaporkan bahawa pembiayaan penyebaran, pembiayaan teror, dan pengelakan sanksi menggunakan infrastruktur aset virtual dan pola kejahatan yang sama. Kelompok pengelakan sanksi secara bertahap berpindah dari bursa dalam negara ke perantara luar negara, platform global, perdagangan luar bursa, dan saluran pembayaran stablecoin; Korea Utara terus memanfaatkan bursa, DeFi, jembatan lintas rantai, dompet multi-tandatangan, dan jaringan OTC untuk membersihkan dana hasil kejahatan. Dalam hal pembiayaan teror, penjahat secara luas menggunakan stablecoin USDT di rantai TRON, disertai alat untuk menyembunyikan arus dana bayaran transaksi. Laporan tersebut menyebut operasi “Borelli” di Spanyol pada tahun 2025, yang menghancurkan jaringan penipuan kripto lintas batas dengan nilai kerugian 460 juta euro dan lebih dari 5.000 pengguna korban. Kelompok tersebut menggunakan perusahaan cangkang Hong Kong dan akaun bank untuk menyamar sebagai platform pelaburan sah, serta membersihkan dana hasil kejahatan melalui pembayaran tunai, pemindahan bank, dan transaksi berlapis aset virtual, menunjukkan ciri-ciri jaringan penipuan antarabangsa yang terstruktur secara bertingkat dan industrialisasi, serta saling terkait erat dengan perdagangan manusia, pengelakan sanksi, dan pencucian uang lintas batas.

Selain itu, penyalahgunaan kecerdasan buatan boleh memperbesar risiko rantai kejahatan aset digital di atas. AI sedang digunakan untuk menghasilkan video deepfake, menganalisis kelemahan kontrak pintar, dan menghasilkan kod serangan secara automatik, mempercepat serangan terhadap DeFi dan infrastruktur lintas rantai. Duit hasil kejahatan dipindahkan dan dibahagikan dengan pantas melalui stablecoin, pertukaran terdesentralisasi, dan jambatan lintas rantai, meningkatkan kesukaran dalam melacak dan membekukan dana. Laporan tersebut dengan jelas menekankan bahawa pihak berkuasa setiap negara perlu menganggap kejahatan aset digital yang dikuasakan oleh AI sebagai risiko struktural, serta memperbaiki mekanisme pengenalan deepfake, alat penyiasatan asli blockchain, dan perkongsian maklumat awam-swasta.

2.2 Mata wang stabil menjadi saluran pilihan untuk dana haram

Pada tahun 2025, 84% transaksi kripto tidak sah dilakukan melalui mata wang stabil, dengan USDT/USDC menjadi alat utama bagi organisasi teroris, peretas, dan geng dadah.

Kumpulan jenayah secara khusus membangunkan mata wang stabil sendiri yang mengelakkan pembekuan oleh penguasa, menjadi risiko baharu, seperti kumpulan kewangan Kamboja (Huiwang Group) yang mengeluarkan mata wang stabil yang diikat kepada dolar AS, dengan mengklaim tidak diawasi oleh agensi pengawas dan aset tidak boleh dibekukan. Sebelum ini, pihak ketiga yang mengeluarkan mata wang stabil membekukan aset 29 juta dolar AS yang berkaitan dengan kumpulan tersebut, mendorong kumpulan jenayah untuk mengembangkan mata wang stabil yang tahan terhadap pembekuan, dengan pelaksanaan multi-chain yang meningkatkan kesukaran pemantauan. Kes ini menunjukkan bahawa penyedia aset maya tidak boleh semata-mata bergantung pada fungsi pembekuan oleh penerbit untuk mengendalikan risiko; setiap negara perlu memaksa penerbit mata wang stabil membina kemampuan teknikal yang boleh bekerjasama dengan penguasa dalam pembekuan dan penyitaan token, serta memasukkannya sepenuhnya ke dalam pengawasan anti pencucian wang.

Selain itu, organisasi teroris (ISIS, Al-Qaeda) secara beransur-ansur meninggalkan Bitcoin dan lebih memilih mata wang stabil: dengan mengganti alamat dompet, memecah transaksi ke dalam jumlah kecil, menggunakan pelbagai transaksi luar bursa, serta menggabungkan DeFi dan dompet bukan terpusat untuk mengelakkan pemeriksaan kepatuhan.

2.3 Risiko perdagangan P2P dompet bukan terpusat

Perdagangan peer-to-peer pada dompet bukan terpusat tanpa kehadiran perantara berlesen dan tidak tunduk kepada kewajiban kepatuhan anti-pencucian wang, membentuk lubang struktural dalam pengawasan. Walaupun transaksi di rantai boleh dilacak, ciri anonim membolehkan penjenayah mengasingkan sumber dana melalui pelbagai dompet, meningkatkan kompleksiti pelacakan, sementara penyelesaian lintas batas secara serta-merta bagi mata wang stabil memperbesarkan risiko pencucian wang lintas batas. Perdagangan sebegini tidak mempunyai pihak yang wajib mengemukakan laporan transaksi mencurigakan; hanya penerbit mata wang stabil yang boleh bekerjasama dengan pihak berkuasa untuk membekukan dompet yang terlibat dan mengemukakan laporan transaksi mencurigakan sebagai langkah tambahan.

88% daripada 66 wilayah yang disurvei menganggap perniagaan titik-ke-titik sebagai berisiko tinggi; tetapi hanya 23% (31 daripada 133) secara berterusan mengumpul dan memantau saiz pasaran perniagaan titik-ke-titik, menyebabkan kesukaran dalam mengukur risiko akibat data industri yang terpecah.

*Untuk penjelasan lebih terperinci mengenai risiko transaksi P2P antara stablecoin dan dompet tidak terkelola, bacaFATF Menerbitkan Laporan Khusus Mengenai Stablecoin dan Dompet Tidak Terkelola: Penjelasan Ancaman Risiko dan Strategi Penanggulangan》

2.4 Masalah pengelakan peraturan VASP luar negara

Perkhidmatan aset maya luar negara (oVASP) merujuk kepada platform di mana tempat pendaftaran dan operasi dipisahkan dari yurisdiksi pelanggan. Jika yurisdiksi pendaftaran perkhidmatan luar negara mempunyai pengawasan antipencucian wang yang lemah, ia akan membawa risiko pencucian wang kepada kedua-dua yurisdiksi pendaftaran dan yurisdiksi pelanggan; jika yurisdiksi pelanggan tidak memaksa perkhidmatan luar negara mendaftar, platform boleh mengelakkan pengawasan tempatan sepenuhnya.

Risiko yang lebih lanjut ialah masalah akaun bersarang, di mana perkhidmatan luar negara menyamar sebagai pengguna eceran biasa untuk membuka akaun di pertukaran dalam negara yang kompaian, dengan transaksi haram berjumlah besar yang jauh melebihi skala pelabur eceran biasa, sementara pengawasan risiko platform dalam negara lemah, yang akan membawa risiko serius seperti senarai sanksi dan dana haram.

Laporan menekankan bahawa arbitrage regulasi merupakan risiko struktural asas: penyedia luar negara memilih yurisdiksi dengan peraturan longgar untuk pendaftaran, mengurangkan kos kepatuhan seperti due diligence pelanggan dan peraturan perjalanan, bersaing dengan harga rendah yang menekan platform yang patuh dan berlesen, merosakkan persekitaran kepatuhan yang adil dalam industri, dan menggugat sistem regulasi tempatan.

Negara-negara telah secara bertahap mengenakan langkah-langkah pengawasan: mengandalkan analisis blockchain, intelijen terbuka, dan laporan transaksi mencurigakan dari platform dalam negeri untuk mengenal pasti penyedia perkhidmatan luar negara; menerapkan “pengawasan berdasarkan lokasi perniagaan”, di mana mana-mana platform yang memasarkan kepada penduduk tempatan atau menghubungkan saluran pembayaran tempatan wajib mendaftar; sebahagian wilayah memerlukan penyedia perkhidmatan luar negara menubuhkan penanggungjawab kepatuhan tempatan dan menyimpan data pelanggan sepenuhnya. Bagi penyedia perkhidmatan luar negara yang enggan bekerjasama, tindakan peringkat harus dilaksanakan termasuk amaran awam, penarikan daripada stor aplikasi, pemutusan saluran kewangan dalam negeri, dan tindakan jenayah; mengandalkan kerjasama antara jabatan dalam negeri, lawatan antara agensi pengawas antarabangsa, dan rangkaian FIU untuk kerjasama lintas batas.

2.5 Kesenjangan pengawasan keuangan terdesentralisasi (DeFi)

Secara global, sukar untuk mengenal pasti pihak yang mengawal sebenar projek DeFi, dan kebanyakan yurisdiksi tidak menetapkan keperluan lesen atau pendaftaran untuk projek DeFi yang termasuk dalam lingkung pengawasan FATF. Masalah DEX, jambatan silang rantai, dan alat privasi yang memutuskan laluan pelacakan dana di atas rantai sukar diselesaikan, mencipta jurang yang terus membesar dalam pengurusan risiko pencucian wang.

Dalam data tinjauan tahun 2026, hanya 18% (26 daripada 142) yang telah menyelesaikan penilaian risiko industri DeFi, dan 9% sedang mempercepat penilaian tersebut. 93% (132) tidak dapat mengenal pasti projek DeFi yang memenuhi definisi VASP di dalam negara, 31% (44) mempunyai peraturan pengurusan risiko semasa yang meliputi DeFi, tetapi hanya 4 yang menetapkan keperluan lesen wajib, hanya 2 yang sebenarnya menyelesaikan pendaftaran dan penerbitan lesen untuk projek DeFi, dan hanya 35% (50) agensi pengawas berkomunikasi dengan industri untuk mengenal pasti model perniagaan dan risiko DeFi.

Tantangan utama pengawasan DeFi ialah operasi silang sempadan, tiada badan undang-undang fizikal, dan tiada alat pengawasan yang jelas. Agensi pengawasan kurang kemampuan teknikal blockchain untuk menentukan kuasa sebenar projek, dan hanya terdapat satu kes pelaksanaan terhadap projek DeFi yang melanggar peraturan.

3.1 Tugasan utama yang ditujukan kepada agensi pengawasan

3.1.1 Penilaian komprehensif terhadap risiko

Sama ada menggunakan mod lisensi atau larangan, pemahaman yang jelas dan menyeluruh terhadap risiko pencucian wang / pembiayaan terorisme / pembiayaan penyebaran bagi VA/VASP mesti dibina. Penilaian risiko harus merangkumi VASP tempatan, VASP luar negara, penerbit koin stabil, DeFi, dompet tanpa pengurusan, teknologi baharu industri, model perniagaan jenayah baharu dan sebagainya.

3.1.2 Membina sistem pengawasan VASP yang lengkap

- Mekanisme wajib lesen / pendaftaran: VASP tempatan, penerbit stabelcoin yang memenuhi piawaian, dan DeFi yang patuh mesti memegang lesen; penyedia perkhidmatan luar negara luar wilayah mesti didaftarkan secara serentak apabila memenuhi syarat.

Pemeriksaan kepatuhan rutin: pemeriksaan dwi jalur, secara langsung dan tidak langsung, untuk memeriksa pelaksanaan peraturan perjalanan, KYC, dan kepatuhan anti pencucian uang, serta memberikan panduan perbaikan kepada institusi.

Mekanisme hukuman terhadap aktiviti haram: Membina sistem pengenalpastian dan tindakan terhadap individu dan perusahaan yang menjalankan perniagaan aset digital tanpa lesen.

3.1.3 Memperkuat kerjasama antara awam dan swasta lintas batas, membina saluran pembekuan dan penarikan semula aset haram

Membina saluran perkongsian maklumat rasmi dan tidak rasmi, silang sempadan dan silang jabatan, untuk mengesan dengan pantas pelaku jenayah dan dana hasil jenayah; memperbaiki kerangka undang-undang bagi pembekuan dan penyitaan pantas stabelcoin dan aset kripto bagi mengatasi dana haram silang sempadan dan DeFi.

3.2 Kewajiban kepatuhan untuk VASP, penerbit mata wang stabil, dan DeFi yang mematuhi peraturan

3.2.1 Membina sistem kepatuhan AML/CFT penuh, melaksanakan peraturan perjalanan dengan ketat

- Terus menilai dinamik risiko perniagaan sendiri, dengan fokus memantau mata wang stabil, dompet tidak diuruskan, penyedia perkhidmatan luar negara, dan risiko baharu berkaitan DeFi;

- Alat pengurusan risiko terkait: Know Your Customer (KYC), pemeriksaan dompet rantai, senarai hitam dan putih, fungsi blok dan pembekuan aset, yang boleh diubah suai dengan pantas untuk menghadapi penipuan dan kaedah pencucian wang baru;

Bekerjasama secara proaktif dengan pihak pengawas dan institusi seindustri, berkongsi ciri-ciri transaksi mencurigakan dan isyarat amaran risiko, serta membantu penyiasatan penegakan undang-undang.

3.2.2 Melaksanakan langkah pengawasan khas untuk senario berisiko tinggi

- Perkuat pemantauan transaksi dompet bukan terpusat, dan lakukan penilaian pelanggan diperkuat (EDD) untuk transaksi dompet berisiko tinggi;

- Melaksanakan pemantauan di rantai dan alat analisis blockchain (seperti Beosin KYT) untuk mengenal dan mengesan secara automatik aktiviti mencurigakan seperti pemindahan dana besar secara pantas dan pencucian wang bertingkat, menganalisis dan melacak lebih daripada 120 protokol lintas rantai dan transaksi pencampuran yang kompleks untuk menilai risiko pencucian wang bagi alat-alat seperti protokol DeFi, jambatan lintas rantai, dan pencampur dana.

- Lakukan due diligence ketat terhadap VASP luar negara, kenal pasti akaun platform luar negara yang menyamar sebagai pelabur eceran biasa, bataskan saluran kerjasama berisiko tinggi, dan pantau saluran pembayaran mata wang fiat yang menghubungkan platform luar negara tanpa lesen.

Laporan pembaruan terarah ke-7 FATF menunjukkan kemajuan dalam pengawasan aset virtual secara global, tetapi risiko utama seperti kegagalan penegakan hukum, kekosongan pengawasan DeFi, arbitrase platform luar negara, serta celah P2P pada stablecoin dan dompet self-custody masih berterusan. Laporan tersebut menekankan logika inti: aset virtual tidak mengenal batas negara; kekosongan pengawasan di satu yurisdiksi merupakan kelemahan dalam sistem keuangan global. Bagi yurisdiksi dengan aktivitas VASP penting, FATF menuntut percepatan pelaksanaan efektif R.15. Yurisdiksi yang belum memulai harus memprioritaskan penilaian risiko dan pembangunan kerangka hukum; yurisdiksi yang telah membuat kemajuan harus memprioritaskan tindakan pengawasan substantif. Dalam konteks pasaran aset virtual global yang terus membesar dan metode kejahatan yang semakin kompleks, kecepatan pengawasan harus sejajar dengan kecepatan evolusi risiko. Ini bukan hanya seruan FATF, tetapi juga keperluan nyata bagi sistem keselamatan keuangan aset virtual global.

Pautan laporan: https://www.fatf-gafi.org/en/publications/Fatfrecommendations/targeted-updated-virtualassets-vasps-2026.html

Beosin merupakan salah satu syarikat keselamatan blockchain pertama di dunia yang fokus pada pengesahan formal, menawarkan perniagaan ekosistem lengkap berdasarkan “keselamatan + pematuhan”. Syarikat ini mempunyai cawangan di lebih daripada 10 negara dan wilayah, dengan perkhidmatan yang merangkumi audit keselamatan kod sebelum pelancaran projek, pemantauan dan penghalangan risiko keselamatan semasa operasi projek, pemulihan aset yang dicuri, anti-pencucian wang (AML) aset maya, serta penilaian pematuhan yang memenuhi keperluan peraturan tempatan—semuanya sebagai produk dan perkhidmatan keselamatan blockchain “satu atap”. Sila klik kotak mesej di saluran kami untuk menghubungi kami.