陳睿君｜戴圖斯律師行顧問 · 2026年11月
2026年10月30日凌晨約4時05分（香港時間），資產開始從幣安（Binance）的五個熱錢包轉出。幣安在初步報告指出，攻擊者取得內部簽署服務的存取權限，繞過正常提款程序轉移資產。幣安估計，受影響資產約值63.4億美元，發表報告時仍在調查。幣安11月3日事故報告
香港持牌虛擬資產交易平台應先查清楚，審批提款的人員或系統能否獨立核實實際提交到鏈上的交易。假如這一關失守，誰會最先發現來歷不明的轉帳？凌晨4時誰有權暫停提款？又由誰通知證券及期貨事務監察委員會（證監會）？經紀行也要知道，自己從綜合帳戶能看到哪些交易資料，以及平台收到通知後能多快採取行動。
這些證監會要求適用於哪些機構？
證監會的《適用於虛擬資產交易平台營運者的指引》（《虛擬資產交易平台指引》）列明持牌平台營運者及其有聯繫實體應遵循的保管和網絡保安標準。證監會2025年8月的託管通函列明最低標準和良好做法，並要求把遵守通函的情況納入每年的外部合規及技術評估。證監會評估有關人士是否屬適當人選時，會考慮有否不遵守指引及其影響。《虛擬資產交易平台指引》第1.8段及第X、XII部 · 證監會託管通函 · 戴圖斯律師行的持牌平台持續合規指南
證監會2026年2月公布的提款保障措施，適用於藉證監會持牌平台的綜合帳戶提供虛擬資產交易服務、並容許客戶提取虛擬資產的持牌法團。同年7月的通函針對客戶帳戶遭遇網絡釣魚及黑客入侵的風險，適用於該通函所界定的互聯網經紀行，以及獲證監會發牌的虛擬資產服務提供者。6月關於人工智能驅動的網絡攻擊的通函，對象更廣，涵蓋持牌法團、獲證監會發牌的虛擬資產服務提供者及其有聯繫實體。證監會綜合帳戶經紀通函第19至20段 · 證監會仿冒詐騙及黑客入侵通函 · 證監會人工智能網絡安全通函
政府於2026年11月4日回覆立法會時表示，計劃在年底前提交條例草案，把規管範圍擴至虛擬資產交易、提供意見、管理及託管服務。證監會亦表示，現行平台託管標準將成為日後對虛擬資產託管服務提供者的核心要求。政府的立法會答覆 · 證監會託管通函
核對錢包實際簽署的交易
畫面上的提款指示看似正常，資產仍可能轉往錯誤地址。證監會在託管通函列舉了第三方錢包軟件遭入侵、審批裝置遭未經授權存取，以及簽署人批准偽造交易的事故。就冷錢包操作，通函要求使用專用審批裝置、獨立核對數據完整性，並防止簽署人未核對內容便簽署。《虛擬資產交易平台指引》第10.10段亦要求設有防範措施，避免接收地址在交易簽署及廣播前遭更改。證監會託管通函第III部 · 《虛擬資產交易平台指引》第10.7及10.10段
找一宗提款作測試，由客戶發出指示開始，追查至錢包實際簽署的交易資料。在測試環境改動接收地址，或嘗試超出核准金額或轉帳頻率上限，看看哪個系統會拒絕經改動的指示。就熱錢包而言，即使上游服務遭入侵，簽署服務或獨立監控機制仍應能攔截未經授權的地址、金額和交易類型。冷錢包的系統、流程或獲授權人員如有重大變更，證監會要求在變更前重新評估可能遭入侵的途徑。證監會託管通函第8段
測試亦應涵蓋授予鏈上權限的交易。幣安指，攻擊者利用其簽署服務，轉授一個以太坊熱錢包的部分執行權限。幣安暫停提款時，授權已在鏈上生效，團隊要另行撤銷。可以請錢包團隊示範，提款服務關閉後，如何找出仍然有效的鏈上授權並撤銷。幣安11月3日事故報告
把審批系統與日常工作分開
據幣安初步調查，一名工程師參與假招聘面試後，在工作電腦執行了含惡意程式碼的編程測試。美國聯邦調查局（FBI）早已警告，攻擊者會借招聘或投資接觸加密資產業從業員，誘使他們執行程式碼。讓工程師知道遇到可疑接觸時可向誰匯報，並避免在能存取正式營運環境的裝置上執行外來編程測試。幣安11月3日事故報告 · FBI關於假招聘等社交工程手法的警告
設定權限時，可先假設某部裝置或高權限帳戶已遭入侵。限制各帳戶可執行的操作，並把網絡劃分成不同區段，讓入侵者即使控制工程師的手提電腦，也只能接觸有限的系統。凡變更涉及調動客戶資產或擴大正式營運環境的存取權限，應由第二人審批。證監會的人工智能網絡安全通函談及這些措施，《虛擬資產交易平台指引》第12.12(f)段亦要求在關鍵系統的伺服器和工作站設置防惡意程式及端點偵測與應變措施。證監會人工智能網絡安全通函 · 《虛擬資產交易平台指引》第12.12(f)段
按高峰時段的結餘檢視冷儲存及補償安排
按《虛擬資產交易平台指引》，持牌平台及其有聯繫實體應把98%的客戶虛擬資產以線下方式儲存，證監會可按個別情況容許有限例外。平台營運者應設有經證監會核准的補償安排。就有聯繫實體持有的客戶虛擬資產，補償安排應按線下儲存資產的50%，以及線上和其他方式儲存資產的100%，為潛在損失提供保障。平台應每日核對保障是否仍足夠。《虛擬資產交易平台指引》第10.6(c)及10.22至10.24段
以過去一個月提款最繁忙的時段為例，按當時的結餘檢查補償安排可以涵蓋多少。倘有投保，留意涉及社交工程、濫用獲授權的系統，以及有國家支持的活動等不保事項。指引要求平台由有聯繫實體以信託方式代客戶持有資產。核對保單、客戶條款和信託文件，看看與實際持有資產的方式是否一致。香港高等法院原訟法庭在 Re Gatecoin 一案裁定，加密貨幣屬財產，可以作為信託標的。至於受交易所後期條款約束的客戶，法庭認為有關條款顯示並無設立信託的意圖。Re Gatecoin Ltd (in liquidation) [2023] HKCFI 914 · 《虛擬資產交易平台指引》第10.1段
辦公時間以外，誰可以暫停提款？
證監會的託管通函要求平台把鏈上客戶資產與平台分類帳實時對帳，發現異常差異便迅速發出警報，假日也要全天候監察。透過綜合帳戶提供交易服務並容許客戶提取虛擬資產的經紀，同樣應持續監察，並確保辦公時間以外也能上報事故和暫停提款。經紀和平台可預先商定，遇到可疑提款時，如何請平台攔截，或為剛獲批准的錢包地址設定限額。證監會託管通函第V部 · 證監會綜合帳戶經紀通函第20段
持牌平台如暫停客戶提取虛擬資產，應以公平、透明的方式決定，並須通知證監會及平台的所有客戶，不得延誤。事先指定誰有權決定暫停提款，並向夜間當值人員交代誰可代行。若仍有資產轉入懷疑遭入侵的錢包，團隊要知道如何處理。關閉應用程式後，也要測試鏈上是否仍有途徑轉走資產。《虛擬資產交易平台指引》第10.10(e)段
遭黑客入侵後，何時要通知證監會？
平台或其系統如有重大服務中斷或其他重大問題，或交易、保管、會計、結算及交收系統或工具出現重大缺失、錯誤或缺陷，持牌平台營運者及其有聯繫實體（如適用）應立即通知證監會，並在沒有不當延誤的情況下提交事故報告。《虛擬資產交易平台指引》第12.14及16.7(b)至(c)段
2026年7月的通函另要求互聯網經紀行及獲證監會發牌的虛擬資產服務提供者，立即向證監會匯報黑客入侵事故，並查明成因。首次通報時，可先記下已知情況、受影響的系統，以及團隊已採取哪些措施控制事態。證監會仿冒詐騙及黑客入侵通函第17至18段
指定關鍵基礎設施營運者另有《保護關鍵基礎設施（電腦系統）條例》（第653章）下的法定責任。就須通報的電腦系統安全事故，營運者須在得悉嚴重事故後12小時內通知關鍵基礎設施（電腦系統安全）專員，其他須通報事故則須在得悉後48小時內通知專員。書面報告須在得悉事故後14日內提交。事故如已干擾、正干擾或相當可能干擾關鍵基礎設施的核心功能，即屬嚴重事故。專員辦公室的營運者法定責任指南
遭盜取的加密資產轉入平台時
FBI把幣安失竊事件歸因於北韓，並公布了涉事錢包地址。可信警報所指的地址如曾與機構有交易，便應核查交易紀錄，並把結果交給洗錢報告主任。證監會期望從事虛擬資產活動的持牌機構，在代客交易前篩查交易和相關錢包地址，發現與可疑或非法活動有關的情況便跟進。FBI就幣安失竊事件發出的警報 · 證監會分層交易通函第17段
任何人如知道或懷疑某項財產全部或部分、直接或間接代表販毒或可公訴罪行的得益，或曾在與販毒或可公訴罪行有關的情況下使用，或擬作此用途，又或屬恐怖分子財產，便須在合理範圍內盡快向獲授權人員（例如聯合財富情報組人員）披露。可信的研究人員或海外機構報告可作判斷依據。與客戶聯絡前，先與法律及合規團隊商議，以免披露可能妨礙調查的資料。聯合財富情報組的法定舉報責任概覽 · 聯合財富情報組的舉報及相關法例說明
制裁風險要另行核查。根據香港《聯合國制裁（朝鮮民主主義人民共和國）規例》（第537AE章），除獲特許授權外，不得直接或間接向有關人士或有關實體提供資金、其他財務資產或經濟資源，或為其利益提供上述資產。規例亦限制處理屬於該等人士或實體，或由其擁有或控制的資產。如有機構指事故由北韓策動，便有理由查清資產由誰擁有或控制，以及誰會從擬進行的交易受益。第537AE章第8條 · 聯合國安全理事會綜合制裁名單
能否在鏈上凍結代幣，視乎代幣本身、發行人的控制機制和法律依據。香港金融管理局列舉持牌穩定幣發行人可採取的措施，包括把與制裁或非法活動有關的錢包地址列入黑名單，以及在收到監管當局或執法機構的要求或法庭命令時，迅速凍結穩定幣。平台如發現有人存入可疑資產，應確認可聯絡發行人的哪位人員，並保留轉介所需的交易資料。金管局持牌穩定幣發行人打擊洗錢指引第5.10至5.12段
董事會下次桌上演習的檢查清單
- 追查一宗測試提款如何經供應商軟件送往簽署系統，請團隊示範哪一環節會拒絕經改動的交易。
- 模擬工程師的裝置遭入侵，檢查該帳戶可存取哪些系統，以及日誌能否用來重組入侵經過。
- 以錢包結餘的高峰水平檢視補償安排，再按資產的實際持有方式核對保單的不保事項及客戶條款。
- 與經紀或託管服務供應商在辦公時間以外演習。記錄由事故發生至首次警報、決定暫停提款、控制鏈上事態及首次通知證監會，各花了多久。
- 給團隊一份可信的報告，指出有人存入的虛擬資產涉及失竊資產。請團隊記下篩查結果、是否向聯合財富情報組舉報、如何處理制裁風險，以及有否聯絡發行人。
- 列明每項修正由誰負責、何時再測試。把結果與平台每年外部評估所需的佐證一併保存。
演習可以由凌晨4時一宗來歷不明的轉帳開始，讓夜間當值人員用現有的警報、權限和聯絡電話應對。
戴圖斯律師行就香港的監管及合規事宜向虛擬資產機構提供法律意見。如需檢視託管安排，或釐清黑客入侵後應通報哪些事項，歡迎聯絡本行的虛擬資產律師。
本文僅供一般參考。個別情況須按具體事實徵詢法律意見。文中所引監管資料截至2026年11月9日。