Останнім часом у галузі цифрових активів відбулося кілька інцидентів безпеки, і численні атаки та крадіжка коштів знову перенесли увагу ринку на безпеку платформ. Зі зміною методів атак ризики більше не обмежуються лише окремими гаманцями або технічними вразливостями, а можуть стосуватися прав доступу до облікового запису, управління приватними ключами, переказу активів та сторонніх інфраструктур.
Для користувачів більш реальним питанням, ніж «чи безпечна платформа?», є: чи зможе платформа виявити та зупинити ризики раніше, коли виникне незвичайна ситуація? Чи існують достатні механізми авторизації та перевірки для ключових операцій? Коли активи розширюються до різних категорій, таких як американські акції та RWA, чи зможе система безпеки та контролю ризиків впоратися з новими межами бізнесу?
На цьому тлі глобальна цифрова фінансова платформа BIT (раніше Matrixport) офіційно запустила «Білий папір BIT з довіри» версії 2.0, який систематично представляє поточні механізми керування ризиками, архітектуру безпеки, відповідність вимогам та незалежні механізми перевірки BIT у сфері безпеки, відповідності, прозорості та перевіряємості, а також додає інформацію про регулювання, керування та прозорість у різних сценаріях бізнесу, таких як акції США, RWA та управління активами.
Коли платформа обслуговує все більше активів і бізнесу, як забезпечити синхронне розширення безпеки та довіри?
Що платформа може зробити до того, як виникне реальний ризик?
Жодна платформа не може видалити всі ризики одним словом «безпечно». Для користувачів важливіше звернути увагу на те, чи існують заходи захисту до виникнення ризиків і чи є механізми для швидкого виявлення та обмеження аномалій.
BIT у білій книзі підкреслює, що управління ризиками — це не лише реагування після подій, а процес, який охоплює оцінку перед угодою, моніторинг під час угоди та обробку після угоди. У конкретних сценаріях, таких як фінансування та застава, цей механізм деталізується на етапах дилідженс, встановлення параметрів ризику, реального моніторингу, попередження про ризики, а також невиконання зобов’язань та ліквідації.
Ці механізми в кінцевому підсумку спрямовані на забезпечення безпеки облікового запису та активів користувача. Наприклад, BIT здійснює 24-годинне динамічне моніторинг високоризикованих дій, таких як незвичайні входи, незвичайні пристрої та незвичайні виведення коштів, і в залежності від рівня ризику активує попередження, затримку обробки або ручну перевірку. Мета системи безпеки — не лише «виявляти, що сталося після події», а й виявляти ризики в процесі їх виникнення та вчасно втручатися.
На рівні захисту цифрових активів більшість активів зберігаються у холодних гаманцях; приватні ключі зберігаються у апаратних модулях безпеки (HSM) рівня FIPS 140-3 Level 3 і не можуть бути отримані у відкритому вигляді або експортовані.
Але питання, яке важливіше за технічні інструменти: хто має право сказати «ні», коли розвиток бізнесу суперечить вимогам безпеки?
Білі книжки встановлюють, що якщо пропозиція продукту, архітектура системи або зміни при запуску містять серйозні ризики безпеки або не відповідають базовим вимогам безпеки та відповідності, команда безпеки BIT має право «відмовити в одному голосі»; щодо ключових операцій, таких як переказ активів, зміна прав доступу та торгові команди, застосовується «принцип чотирьох очей», за яким принаймні два авторизовані особи повинні брати участь разом.
Логіка цього механізму полягає не в обіцянці, що ризики «не відбудуться», а в тому, щоб якомога раніше забезпечити безпеку — раніше виявляти аномалії, раніше встановлювати обмеження та мінімізувати вплив окремих помилок.
Як забезпечити безпеку в межах нових бізнес-напрямків — від цифрових активів до акцій США?
Коли бізнес розширюється від цифрових активів до американських акцій, RWA та управління активами, значення «безпеки» також змінюється. Користувачів цікавить не тільки безпека облікового запису та зберігання цифрових активів, але й хто керує бізнесом, якому регулюванню він підлягає та через які етапи проходять активи.
Наприклад, у новій версії білої книги BIT детальніше розкрила регулювання, облік, розрахунки та зберігання активів для свого бізнесу на ринку акцій США. Бізнес BIT у сфері цінних паперів здійснюється Matrix Gelephu Pte Ltd і підлягає нагляду Управління фінансових послуг Гелепу (GFSO); відповідні операції забезпечуються відповідними механізмами відповідності та інфраструктури завдяки застосуванню регуляторних та ліцензійних угод, механізмам захисту клієнтських активів та участі ліцензованих третіх фінансових установ.
Користувач бачить лише «покупку», а за цим стоять кілька етапів: операційна діяльність, регулювання, виконання угод, кліринг та зберігання активів. Для фінансової платформи чим ширші межі бізнесу, тим більше необхідно синхронно розширювати відповідні механізми керування ризиками та відповідності, а не просто додавати нові точки входу для продуктів.
Та ж логіка поширюється й на інші бізнес-напрямки BIT. Нова версія білого паперу додає інформацію про регулювання та управління Matrixport Asset Management (MAM) та представляє компліанси-розташування компаній групи BIT у таких юрисдикціях, як Гонконг, Бутан, Сінгапур, Швейцарія, Великобританія, США та Британські Віргінські острови.
Від цифрових активів до традиційних фінансових активів, BIT представляє не точковий механізм безпеки для окремого продукту, а систему управління ризиками та довіри, яка розширюється разом із межами бізнесу.
Крім безпеки, чому довірі потрібна ще й «перевіряємість»?
Ризик-менеджмент вирішує, як ідентифікувати та контролювати ризики, але для фінансової платформи, яка охоплює різноманітні активи та бізнес-напрямки, просто повідомляти користувачів «у нас є ризик-менеджмент» — цього недостатньо. Якщо безпека, відповідність та розподіл активів можуть пояснюватися лише самою платформою, довіра залишається на рівні «вірьте тому, що каже платформа».
Тому BIT вважає регуляторну та відповідальну базу, незалежні аудити та механізми засвідчення, а також технічну та операційну прозорість трьома основними стовпами загальної системи довіри, що дозволяє розкласти «довіру» на більш конкретні питання: хто регулює платформу? Як захищаються активи? Як контролюються ризики? Чи можна незалежно перевірити ці механізми?
На рівні аудиту та засвідчення, BIT створює багаторівневу, доповнювальну систему верифікації за допомогою механізмів, таких як аудит систем менеджменту ISO, незалежне засвідчення SOC, щорічний фінансовий аудит та внутрішній аудит, щоб уникнути надмірної залежності від одного єдиного аудиту чи механізму засвідчення для різних суб’єктів та ліній бізнесу.
Прозорість вирішує, чи можна побачити інформацію, а перевіряємість додає відповідь на те, чи можна цю інформацію незалежно перевірити.
Коли індустрія знову ставить питання «безпеки» перед усіми платформами, справді важливим, можливо, є не повторення фрази «ми безпечні», а здатність показати користувачам механізми, що стоять за цією фразою.
Довіра не виникає з одного обіцянки чи однієї аудиту, а більше виникає з довготривалого, постійного функціонування системи та зовнішньої перевірки. Безпека вимагає постійного функціонування, а довіра — постійної перевірки.
Повна версія Білої книги довіри BIT V2.0: https://www.bit.com/whitepaper