JCBA整理347项暗号资产委托管理措施 关键管理独立成领域

本文要点

• JCBA发布针对委托方的安全对策汇编草案
• 针对私钥处理提供五种分类
• 征求意见后，将根据修订后的金融商品交易法的动向进行修订

从委托方的视角改编现有指针

日本暗号资产商业协会（JCBA）的安全系统部会于20日宣布成立一个处理暗号资产相关业务委托方管理的工作组（WG）。同时，发布了总结委托方应采取的安全对策的“实践汇编”草案。

该汇编的对象是将钱包等重要系统的运营、密钥管理、交易签名管理委托给外部企业的情况。日本暗号资产等交易业协会（JVCEA）的“再发防止检查清单的思路”等现有指针均是针对委托方的暗号资产交易商编写的。实践汇编则从提供系统的委托方应承担的责任的视角重新解读了这些要求。

项目总数为347项。每项都对应预期风险的示例、确认视角和应提供的确认资料示例，并使用审计实务中使用的词汇进行描述。

密钥管理与签名运营及五种提供形式

整理的范围涵盖治理、人员与物理安全、BCP（业务连续性计划）、再委托方管理等共10个领域。其中，暗号资产特有的“密钥管理与签名运营”被独立为一个领域，处理密钥的生成与存储、冷钱包与热钱包的分离、出库时的验证等。

委托方的提供形式分为“保持型”、“介入型”、“供应型”、“参考型”和“其他”五种。是否保持私钥以及对系统的直接影响范围是分类的标准。针对每种形式，提供应确认项目的参考，旨在防止过度要求或确认遗漏。选择自身形式后，相应项目将显示在“自我评估表”中，并附有管理审计痕迹的“确认资料管理台账”Excel文件。

JCBA指出，SOC2等通用的第三方保证报告无法充分评估私钥生命周期管理等暗号资产特有的态势。旨在统一交换商与委托方之间各自分散的确认项目，建立金融厅及审计法人等相关方可以用同一语言进行讨论的基础。

委托方流出事件的背景

行业内，委托外部专业企业进行钱包管理和签名系统的形式已逐渐固定。JCBA表示，近年来针对这些委托方的网络攻击和资产流出事件频繁发生，认为“整个供应链的韧性提升”刻不容缓。JCBA没有具体提及事件，但在国内，2024年5月，DMM比特币约482亿日元的比特币（BTC）被流出。警方等机构已确认这是由朝鲜黑客团体所为，并公开了攻击者与负责钱包管理软件的企业员工接触的情况。

WG由PwC Japan有限责任审计法人合伙人须田真由担任主席，参与者包括钱包运营商和审计法人相关人员。草案将征求来自交换商、钱包提供商、审计法人等的意见，并根据修订金融商品交易法（金融商品法）的政省令和指导方针的制定动向进行修订。意见通过JCBA的专用表单进行征集。资料在JCBA的官方网站上公开。