SEC允许部分基金自行保管加密资产私钥，谁来监督托管？

SEC提出新的加密资产托管框架：条件性自我托管与监管挑战

美国证券交易委员会（SEC）于10月1日提出了一个新的托管框架，该框架允许投资顾问和受监管基金在特定条件下自行持有加密资产。这是一项公开征求意见的提案，其影响远不止于私钥持有者的身份变更。它提出了一个核心问题：当交易不可逆转、私钥可被无痕复制，且监督资产的方与控制资产的方为同一主体时，基金应提供何种证据？

提案核心要点

SEC针对注册投资顾问和受监管基金提出了加密资产托管规则的变更。提案中同时涉及了“有条件自我托管”和“州特许信托公司托管”，但两者面临的监管审查重点不同。公众需在《联邦公报》发布后60天内提交意见，而非从SEC新闻稿发布之日算起。

在此框架下，私钥被复制即可转移资产，而不会留下物理入侵或托管收据缺失的痕迹。关键的测试标准在于：独立第三方如何对链上控制权、账面记录和客户权益进行核对与调节。

澄清误解：并非无条件批准

SEC的公告描述了一个根据《投资顾问法》和《投资公司法》量身定制的框架。部分媒体报道称机构“简单地批准了自我托管”，这种说法忽略了关键限定词：“在特定情况下”。此外，公告还涉及顾问审计以及经纪交易商对受监管基金的托管服务。新闻稿是指向拟议规则的路标，而非规则本身的替代，不能仅凭新闻稿就视为获得了无条件自我托管的权利。

托管问题的本质：区块链数据的局限性

投资者看到的账户报表和基金净资产值（NAV）背后，资产可能存储在多重签名钱包、信托公司账户或顾问运营系统中。公共区块链可以显示钱包余额，但无法识别法律受益人，无法证明签名者未复制私钥，也无法显示场外质押是否使代币受到限制。这种缺失的桥梁正是托管问题的核心。

具体的监管要求

10月1日的提案适用于注册投资顾问和受监管基金（包括注册投资公司和发展商业公司）。SEC表示，将在定义的情形下允许加密资产自我托管，并允许使用州信托公司作为客户和基金加密资产的托管人。截至撰写日期，新闻稿本身并未确立最终的合规日期或无条件的自我托管权。

这里涉及两个旧有监管体系的交汇。顾问托管规则关注的是顾问可访问的客户资产；而基金制度则对投资组合证券及类似投资的 safeguarding（保障）提出了额外要求。将所有机构统称为“基金”，或认为州信托公司能自动解决所有问题，会抹平提案旨在解决的差异。此外，提案还涉及顾问的财务报表审计和基金的经纪交易商托管服务变更。

时间线与历史背景

2025年，SEC员工曾就某些州特许信托公司发布有条件的不行动立场。员工立场不同于委员会规则。当前的提案邀请公众对更广泛的架构（包括自我托管）发表意见。此前的白宫审查是程序性里程碑，而非生效的规则。因此，头条新闻所暗示的“谁有资格直接使用钱包”、“需要哪些保障措施”以及“监管者或审计师如何验证这些措施”等问题，仍需从提议公告、公众意见和最终文本中解决。顾问不能将新闻稿视为自身的例外条款。

钱包余额不等于托管审计

假设一只基金声称持有10,000个代币单位。审计师可以检查在选定区块包含10,000个单位的地址。这证明了在某个时间点存在余额，但并不能证明基金对该地址拥有独占控制权，也不能证明这10,000个单位属于该基金而非其他有重叠主张的客户，甚至不能证明该地址在快照期间未被短暂填充以伪造数据。

一种控制测试方法是签署挑战：托管人从地址签署一条唯一消息而不移动资金。这是当时具备签名能力的证据，但不是独占签名能力、密钥存储安全性或可执行客户claim的证据。链上测试转账增加了交易权限的证据，但也引入了转移和操作风险。这两者都不能替代总账、客户子分类账、钱包库存和第三方确认之间的核对。

这是检查员首先要求的计算：对于每项资产，汇总客户和基金的权益；将该总和与所有受控地址加上未结算应收款项减去已承诺的转账进行核对。然后在多个随机选择的日期重复此过程，并检查截止期附近的资金流动。一天的相等可能被制造出来，但带有授权记录和异常日志的可重现分类账更难伪造。链条提供外部资产计数，机构提供分配，独立方必须对此进行测试。

密钥控制与资产可用性的区别

此外，还需区分密钥控制和资产可用性。钱包可能需要硬件设备、多次批准和恢复流程。在市场动荡期间，签名者可能不可用；恢复签名者可能成为单点故障；可升级合约可能改变转账规则。审计师需要检查治理结构、访问日志、备份政策、变更控制和事件演练，而不仅仅是余额截图。

复制私钥带来的证据难题

银行金库有门，而加密私钥是信息。员工可以在不减少原始密钥的情况下复制签名秘密，第一次可观察到的滥用行为可能就是转账本身。硬件安全模块和多_party computation（多方计算）可以减少暴露并分散签名权限，但这将审计重点从数钥匙转向检查产生签名的设备、软件、法定人数政策和行政特权。

考虑一个三签五（3-of-5）的安排。听起来比一人持钥更安全，但标签透露的信息很少。如果三个份额存储在同一个云租户中，或由具有共同恢复特权的管理员控制，一个被破坏的边界仍可能授权交易。如果签名者可以更改法定人数或白名单，更改过程本身就与签名一样重要。独立审查应询问：谁可以批准？谁可以更改批准规则？谁可以恢复份额？谁能在实时看到这些事件？

自我托管的经济后果

自我托管也改变了错误的经济成本。传统中介可能在结算前撤销错误的内部记账。一旦签名链上转账达到最终性，通常无法由顾问撤回。恢复可能取决于接收方、代币发行人的冻结权或诉讼。这些都是具有不同时效性的独立补救措施。声明管理者将尝试恢复资产的政策，并不等同于隔离账户或保险公司可执行的承诺。

允许直接控制的有力理由

允许直接控制的最强理由是实用性。某些资产原生存在于网络中，依赖于及时的质押、治理、赎回或合约交互。强制通过不合适的外部第三方进行操作会增加延迟和新集中风险。SEC的提案回应了这种错配。但是，获得操作自由的基金也继承了向验证者展示其如何约束这种自由的需求。

州信托选项：移动边界

提案中的自我托管条件比新闻稿的简写更为狭窄。委员Hester Peirce在关于拟议托管规则的声明中指出，顾问首先必须确定没有允许的托管人可为给定的加密资产提供服务，并每季度重复这一确定。这是一种稀缺性例外，而不是在同等可用的持有方式之间进行选择。这也使得合格服务的市场成为合规测试的一部分：如果后来有托管人支持该资产，顾问的前提可能会改变。

这种重复确定需要有书面记录。联系了哪些托管人？提供了哪些资产和网络版本？请求了什么服务？为什么每个提供者都不可用？能够存储ERC-20代币但不能处理质押奖励或桥接提款的托管人，可能符合也可能不符合最终文本下投资组合的具体需求。顾问不应通过将“可用性”重新定义为“便利性”或“价格”来解决问题。季度记录允许检查员比较声称的障碍与当时的实际市场供应。

季度间的比较比初始备忘录更具挑战性。想象一下，顾问在一月因没有允许的托管人支持其链而自我托管新发行的代币。提供商在三月份增加了支持。在下一次评估中，顾问应记录提供商的实际服务、其是否能保障相同资产以及迁移不可行的任何原因。根据最终规则，可能需要制定详细的迁移计划。迁移成本、税务或交易后果以及操作风险是真实存在的，但不能假定拟议门槛会免除这些责任，除非仔细阅读其文本。

另一种情况是，基金通过合约持有代币，合格的托管人可以查看但无法独立提取。可用性意味着保管收据代币、操作合约，还是仅在赎回后存储资产？答案决定了自我托管是针对资产的例外，还是针对投资策略的例外。评论者可以通过具体的资产和工作流示例来澄清这一点，而不是泛泛地要求灵活性。检查员需要可重复的标准，而不是为每笔盈利交易定义不同的标准。

顾问还应保留被拒绝的投标和服务描述。如果托管人提供支持但顾问因费用高而拒绝，记录应予以说明。如果托管人缺乏必要的提款功能，顾问应展示这一限制。这些区别有助于独立审查者判断例外是由不可用的保管服务触发，还是由商业偏好决定。它们也保护了在快速变化的市场中做出合理决定的公司。

Peirce委员声明的范围

Peirce的声明也明确了自我托管辩论的范围：在有限条件下，顾问客户资产和受监管基金资产均在视野之内。这并不意味着合并其治理结构。在基金中，董事会和服务提供商需要了解例外适用的原因及其结束时间。单独管理账户的客户需要明确披露谁拥有签名权以及权益的位置。一家公司可能同时对两者负责，但证据链应指出哪个法律池拥有每个钱包。

州信托公司可能在钱包操作和隔离方面专业化，同时将监管机构、检查和外部企业实体引入链条。10月的提案将通过规则制定来解决这一问题。无论是宪章还是信托公司标签，都不能证明特定提供商的操作控制能力；宪章确定了监管制度和承担义务的公司。

使用信托公司的顾问应询问：谁拥有钱包？谁是记录在案的客户？该公司是否混合地址？破产管理人如何识别客户财产？即使网页仪表板看起来相同，答案也可能不同。合同可以说资产是为客户持有的，而操作账簿可能难以识别哪些代币属于哪个客户。这是一个法律和证据问题，而非区块链吞吐量问题。

如果信托公司将签名技术外包，同样的调查同样适用。平台提供商可能提供钱包软件、恢复服务或交易筛选。信托公司可以是名义上的托管人，而外包方拥有足够的权限来中断提款或更改交易政策。监管者和顾问应通过分包商映射实际的控制路径。私钥的位置和法律责任的所在地可能不同。

独立的益处与局限

有一个相反的好处：单独的托管人可以向审计师提供独立的陈述和确认。然而，如果托管人依赖顾问自己的职位文件且从未测试底层钱包，独立性并非自动实现。稳健的外部确认应识别地址或可验证的库存、客户权益、限制以及托管人的知识范围。通用的余额证书使最困难的问题悬而未决。

基金股东的两层距离

在注册基金中，股东拥有股份，而不是对特定比特币输出或代币地址的直接索赔。基金根据其管理文件拥有或控制投资组合，而服务提供商维护托管、会计和过户代理记录。股东询问资产在哪里，必须穿越这些层级。链条 alone 只回答了路线的最后部分。

这就是为什么托管崩溃可能在任何确认损失之前成为定价事件。如果基金无法建立库存或其移动库存的权利，它可能在计算净资产值、满足赎回要求和在披露中代表其持仓时面临不确定性。交易所的流动性无法修复缺失的密钥或有争议的财产权利。提案的审计和基金托管变更应与钱包条款一起阅读，因为它们决定了错误是如何被发现和沟通的。

考虑一种全天候交易的代币，而基金每天计算NAV。在定价截止期和审计确认之间，资产可能移动，智能合约可能变化，托管人可能暂停转账。控制措施需要有防御性的截止期和后续事件审查。每日钱包快照链接到每日分类账，并解释异常情况，比每月储备声明更好的记录。当策略本身在交易所、验证者或合约之间移动资金时，所需证据的数量会增加。

代币化货币市场基金的启示

此前报道的富达基金代币化货币市场案例显示了此类别的重要性：注册基金可以遇到区块链记录的资产，而无需给予每个股东一个钱包。这并不意味着SEC认可每种代币的每种托管模式。产品特定的救济和拟议的一般规则有不同的适用范围。

代币的控制权可能位于合约中

私钥并不穷尽控制权。代币发行人有时可以冻结或重新发行余额。桥接管理员可能能够更改另一条链上资产的表示形式。借贷协议可能持有处于清算状态的抵押品。质押安排可能阻止立即提款。对于托管目的而言，持有代币的地址只是资产控制权地图中的一行。

假设基金将代币存入智能合约并收到收据代币。钱包不再持有原始资产。分类账必须解释交换过程以及基金对合约的可执行权利。审计师需要知道赎回是否无需许可，第三方管理员是否可以暂停赎回，以及基金是否将原始代币和收据计为两项资产。如果报告拼接不兼容的单位，可能会出现双重计数。

检查员可以通过交易追踪对此进行测试：从基金的收购开始，跟随代币进入合约，检查合约的当前状态，并将收据与投资组合会计分录进行核对。链浏览器使追踪成为可能。它并不决定会计分类或法律定性是否正确。

质押的教训

同样的教训适用于质押。验证器运营商可能运行基础设施而不拥有提款凭证。托管人可能拥有提款凭证但委托操作签名。如果资产被削减或锁定，经济相关的损失可能在密钥被盗之前发生。承认加密资产的托管规则应促使公司分别记录每种类型的权限。

首次检查应遵循失败的转账

演练可以比完善的控制备忘录暴露更多内容。选择一个普通的提款指令，模拟失败的签名者、疑似被破坏的设备以及最后一分钟更改的目标地址。哪种批准停止了付款？谁能切换签名者？基金在多久内无法履行其自身的赎回或结算义务？答案可以用分钟、访问权限和签名记录来衡量。无论托管人是外部的还是顾问自身，这都是一个有用的检查问题。

现在测试相反的情况：未经授权的转账已经到达链上。事件日志应显示检测时间戳、受影响的交易、剩余的风险钱包以及有权通知董事会、客户和监管机构的实体。持有同一资产于三个网络的基金必须识别所有三个网络，而不仅仅是发出警报的地址。如果代币合约有发行人冻结功能，谁联系发行人？依据什么权力？如果没有，恢复计划不能承诺冻结。

密钥恢复计划的怀疑

密钥恢复计划值得同样的怀疑。恢复路径可以在丢失设备后恢复控制，但能够调用它的一方也可能能够从合法持有者手中夺取控制权。有意义的测试涵盖恢复本身的授权、独立通知以及可以停止争议更改的时期。记录演练的实际结果，包括失败的步骤。断言钱包是多签的不能替代这些测试。

这些程序需要资金，并可能使较小的顾问觉得有限的例外不具吸引力。这是评论中的合理关切。然而，比较的对象是保护金融客户资产的成本，而不是消费者硬件钱包的价格。对于某些资产或结构，较轻的制度可能是相称的，但其边界需要对客户和检查员可见的理由。

反对论点：监管摩擦

SEC表示，其现有规则是在此类资产出现之前建立的，阻碍了顾问提供与加密相关的建议。主席Paul Atkins将提案框定为框架未能跟上步伐时的合规路径。这是一个严肃的观点：投资者可能会寻求具有受托责任、文档化控制和公共基金披露的顾问，而当前的模糊性会将风险推向透明度较低的安排。

过于狭窄的合格托管人列表也可能将资产集中在少数提供商手中。如果一个服务出现停机或实施广泛冻结，许多基金可能会同时受到影响。直接 custody 的条件途径可能会分散操作风险，前提是公司能够满足清晰且可测试的标准。更广泛选择的好处是真实的，即使没有任何单一设计最适合每个投资组合。

答案不是假设额外的实体总是降低风险

答案不是假设额外的实体总是降低风险。而是比较完全损失的路径。专业托管人可能因网络攻击、破产、糟糕的记录或外包技术失败而失效。顾问可能因薄弱的隔离、利益冲突的人员或缺乏恢复能力而失效。规则可以对双方要求证据，让客户看到他们购买的是哪种安排。公众评论应侧重于将托管声明转化为独立可检查内容的测试负担和披露。

保险与准备金证明的局限

公司可能将政策作为资产安全的证明。政策是具有限制、排除条件和条件的合同，而不是缺失硬币的副本。投资者需要知道投保方、受保钱包、受保事件和累计限额。保护服务提供商自身损失的政策可能仅为基金提供间接索赔。许多客户共享的限额可能在一只基金的损失得到充分支付之前就被耗尽。保险可以缓解事件；它不能验证常规托管或治愈失败的财产权利。

准备金证明也是如此。它可能验证在特定时刻观察到的资产池达到了规定的余额。它可能不测试负债、期间的控制权、场外限制或客户级别的分配。范围段落与大数字同样重要。如果 attestor 测试管理层提供的地址样本，报告应如此说明。如果它对完整人口与独立分类账进行测试，那就是更强的证据。这两种格式都不会无声地变成财务报表审计。

投资者的保证堆栈

对于基金投资者，保证堆栈至少有四个层次。链上持仓显示地址处的资产。签署的挑战或独立的托管人记录将实体与控制联系起来。基金账目将这些资产分配到投资组合并反映应付账款或义务。法律文件确定了受益所有者以及在服务提供商失败时的权利。一层的缺陷不能通过在另一层加倍证据来修补。两张额外的区块链浏览器截图无法修复缺失的隔离协议。

提案中关于顾问审计的参考

这正是提案中提到顾问审计重要的地方。在改变审计义务的同时改变托管范围，既可能加强证据链，也可能在测试人员之间留下空白。评论者应询问哪些独立专业人员确认每个声明，以及哪些声明不在业务范围内。在处理报告的印章作为担保之前，投资者值得对报告覆盖范围有一个直截了当的答案。

10月2日草案无法确定的事项

SEC提出了规则，而非采纳它们。《联邦公报》的发布开始了60天的评论期；最终规则可能会改变条件、生效日期和过渡规定。诉讼或随后的机构行动可能会改变框架。市场不应将新闻稿定价为允许特定基金将其资产从现有托管人处取出的即时许可。

此外，联邦托管规则并未消除州财产法、破产索赔、合同条款、基金治理或保险排除。公司的技术控制证明只有在与这些法律事实并存时才有用。公告中没有公开证据表明任何特定的信托公司或顾问未能保障资产。这是针对拟议系统的设计问题。

最具揭示性的披露可能是平凡的：一份将客户权益与可验证钱包挂钩并识别谁可以更改签名者的时间表。如果最终框架使该记录可独立测试，它可以扩大准入，而不要求投资者信任未经检查的黑匣子。如果它使核对变得不透明，将私钥移到基金内部主要只是将同一问题问的地方进行了移动。

值得关注的事项

• 联邦公报发布：实际的发布日期开始SEC的60天倒计时；请检查最终档案截止日期。
• 自我托管条件：阅读哪些顾问或基金有资格，以及第三方检查、隔离和恢复测试是否为强制性。
• 州信托待遇：检查最终定义、检查标准和对分包钱包操作的待遇。
• 基金披露：寻找关于签名者、限制、提款闸门和重大托管事件的特定描述。
• 独立核对：询问审计师是否能在一段时间内将客户权益与受控地址匹配，包括合约中的资产。

常见问题解答 (FAQ)

SEC已经授权基金自我托管加密资产了吗？

没有。10月1日它提出了有条件的变更。最终要求取决于规则制定过程，在最终规则和任何过渡生效之前，现有义务仍然相关。

什么是合格托管人？

它是为满足特定托管规则标准而为顾问客户持有资产的实体。特定的州信托公司在未来规则下是否符合资格取决于规则的文本和公司的具体情况。

公共钱包地址能否证明基金拥有加密资产？

它证明了在某个区块的观察余额。法律所有权、独占签名权、客户分配和留置权需要额外的证据。

如果硬币尚未移动，为什么复制的密钥很重要？

复制可能启用后来的未经授权签名，而在制作时不会留下可见标记。公司需要限制、检测和从此可能性中恢复的控制措施。

三签五多签钱包能解决托管风险吗？

它可以分散权限，但存储位置、恢复权限和更改签名规则的能力决定了五个签名者真正的独立性如何。

州信托公司是否自动比顾问更安全？

它们增加了一个单独的法律实体和监管制度，但每个提供商的隔离、审计轨迹、外包和恢复过程仍需测试。

SEC评论期何时关闭？

SEC表示在《联邦公报》发布后60天。10月1日的新闻稿发布日期本身并不是该时期的开始。

投资者应向基金询问关于其加密托管的哪些问题？

询问谁拥有签名权，持仓如何与股东记录核对，哪些资产被锁定或质押，以及谁独立测试这些声明。此为教育性分析，非投资建议。