虛擬資產交易狂潮中的AML和CTF風暴：KYC和eKYC是為了什么？

2023-10-12 16:10:08

Refinitiv在傳統金融和虛擬資產交易方面可以說是行業翹楚，已經有超過20年的做KYC的經驗，在香港有非常多國際Top級的大型銀行都是Refinitiv的客戶，今天進行分享的嘉賓Robert本人也是這方面的專家。

概念科普

或許對於大多數散戶投資人而言，只需要完成登記和开戶兩個步驟就可以开始在一個平臺進行投資活動了，對於KYC是什么、代表什么並不太了解。所以我們先幫大家了解幾個概念：KYC、eKYC、AML和CTF。

KYC

KYC即“Know Your Customer（了解你的客戶）”,對於銀行或金融機構而言，它們需要知道自己的客戶是誰；更深入一點，還要做“Due Diligence（盡職調查）”，即調查客戶的基本背景資料。

舉個例子，在傳統金融體系中，一個用戶到銀行开戶，櫃臺或基金經理會要求用戶提供一些身份證明的文件，包括身份證、護照、Address Proof（地址證明，如果用戶有的話）等，把這些資料填表登記、輸入電腦，再由後臺團隊核實用戶身份、進行風險評估，這一系列操作完成，用戶才可以真正地开戶。

那么，銀行/金融機構需要這些信息做什么？

實際上，KYC並不是銀行/金融機構自己想掌握用戶的個人信息，更多是源於監管的要求。而監管如此要求的最終目的在於“反洗黑錢”。所以在監管上有兩個分叉：一是要明確申請牌照的機構是否是想利用自己的Business洗黑錢，二是要知道是否有人通過該機構洗黑錢。所以KYC其實並不是簡單的要掌握某人的名字、出生地等個人信息，而是要知道該用戶是否曾參與過洗黑錢、是否與有洗黑錢嫌疑的人有任何關系，這才是KYC最關鍵的目的，也是監管最看重的部分。

因此，監管會了解機構對客戶做KYC時的過程：機構怎么拿到客戶的資料，拿到之後如何運用、如何知道客戶的背景？比如某客戶是否在制裁名單上、是否是政治人物，這些問題如果直接詢問客戶，客戶可能會說謊，因此在這方面有時候需要第三方獨立的數據庫。機構會在拿到客戶資料後，在數據庫中進行比對。

但由於人口基數大、同名同音等問題，在數據庫中搜索某個名字可能會有很多個人與之對應，於是如何確定具體是哪個人，就需要做KYC中最重要的一個部分——Due Diligence（盡職調查）。所以KYC並不是簡單的“拿到資料”的過程，拿到資料之後還需要中後臺團隊進行很多審查的工作，這才是持牌機構決定是否接受一個客戶上來交易的第一步，也是最重要的一步。

eKYC

簡單來講，“e”就是“Electronic/Alumantic”（數碼化）的一種渠道。

傳統的KYC需要客戶本人到場進行。如果客戶想在某平臺進行一項投資，而光是KYC就需要3、4天甚至5天的時間，待一切完成，可能已經錯過了投資的機會。這對於客戶來說是一個很高的時間成本，客戶自然不愿意花長時間等待平臺完成KYC，因此這會讓平臺流失很多客戶。

平臺（或者說機構）是渴望獲取更多的客戶和利潤的，同時KYC對於機構而言也會耗費很多成本。因此為了減少成本和讓客戶能盡快开戶並使用自己的服務，出現了一個新的渠道——eKYC(Electronic Know Your Customer)。

eKYC不需要客戶本人到現場進行，僅僅需要一個手機就可以完成。用戶通過下載的APP提交KYC所需的資料，然後機構利用AI對所有資料進行審核和驗證。首先會認證身份證/護照是不是真實的，因為有可能出現黑客盜用某些數據庫中的客戶資料，然後利用這些身份到不同的平臺开戶、洗錢的情況。第二就是要認證是不是該客戶本人在進行开戶，比如我們常見的要求客戶打开攝像頭“眨眨眼/張嘴”，除此之外，還有一些新的技術在支持這類驗證，如通過鏡頭計算照片拍攝者本人與其身後背景的距離，以此確定該照片是否是客戶實拍的。

AML

AML即“Anti-money laundering（反洗錢）”。為了防止某些客戶通過銀行/機構洗他們從不法渠道獲得的錢，監管的法規會要求銀行明確客戶每一筆資金的來源，若資金來源不明，銀行有理由拒收，或是直接報告給監管介入審查。而與其在客戶每一筆錢入账時都要審查一次來源，不如在客戶开戶時就查清其是做什么的、是否有獲取不法收入的經歷以及是否有類似的關系網。

在進行AML審查的過程中，一個客戶是否在制裁名單中（即曾有類似經歷）或是否是政治人物（即可能貪污受賄），往往是審查的重點。但值得一提的是，僅僅不在制裁名單中或不是政治人物是不夠的，機構往往還會詳細審查客戶是否是制裁人員/政治人物的近親，因為被審查人員/政治人物也可能利用近親的身份开戶洗錢。

CTF

CTF即“Counter-terrorism financing（反恐融資）”。CTF主要是在“反恐”的一方面，銀行/機構不希望給恐怖組織、恐怖事件提供到經濟上的援助，因此恐怖組織的成員、與恐怖組織相關的人/機構、或是曾與某些恐怖襲擊等事件有所關聯的人/機構，都會在制裁名單上。

那么這種恐怖分子相關的數據是從哪裏得到的？

其實在這方面沒有一個官方的定義，世界上有很多不同的機構會出一些制裁的名單，每個國家也會出自己的制裁名單，另外更多的名單會來自一些執法部門（FBI、國際刑警、國家的公安部門等）的通緝犯等，再加上從一些媒體報道等公开的渠道收集到類似的資料，以上種種整合在一起，才會形成一個反恐的數據庫。並且，這樣的收集和整合的工作是無法被AI所取代的，因為AI雖然可以很快速的收集，但准確率並不夠高，如可能會將電影中的人物識別進數據庫。所以這項工作只能由有經驗的人員人工完成。

由此可見，要建立這樣的一個數據庫其實是很不容易的，更別提當中的數據還要不斷地更新。

Web3世界中怎么做KYC、eKYC呢？

可能有很多Web3的用戶並不是很清楚什么是KYC，清楚的用戶又會覺得KYC是對Web3世界去中心化的一種褻瀆。那么，究竟Web3世界需不需要KYC？如果需要，舊有的KYC手段是否能適用於Web3的交易？

後退一步來看，Web3的生成和發展是非常快的，我們不妨想象一下，以前金融行業（包括所有的生態）其實都是這樣的一種流程：一开始沒有任何法規、沒有任何人在做這個事情的時候，人們發現有利可圖，於是所有人都蜂擁進去做這個事情（類比BitCoin價格上到6萬塊的時候）；第二就是人們發現在這裏沒有KYC，如果真的有一些資金不知道怎么把它洗幹淨的話，可以利用這種方法，這也會吸引很多人進到crypto中。

但是慢慢的隨着生態發展到一定程度以後，就會出現一些Bad Apples，比如JPEX這樣的公司。所以從監管的角度來看，當這個生態發展到了某一種地步時，他們必須要站出來去監管這個行業。

以JPEX為例，實際上Web3原生的用戶們都知道這是一個黑料滿滿的交易所，但很多Web3的“小白用戶”並不能識別這樣的騙局。他們看到所謂高額的收益，抱着賺錢的想法將錢投入其中，最後承受了巨大的損失。事實也證明，JPEX案件的絕大部分苦主都是這樣的用戶，而並非了解Web3的用戶。

總結來說，Web3發展過程也是一樣的：一开始沒有任何監管的時候湧入了大量的用戶，發展到一定程度時肯定會出現一些Bad Apples，一些缺乏認知的普羅大衆就會因此虧錢，此時就需要有監管的介入，避免這樣的事情再發生。

所以當任何一個賽道從“野蠻生長”向“文明有序”的階段發展的時候，獲得一個合法、被認可的身份都是很重要的過程。一個行業想要吸引更多的用戶（特別是想讓大家去多一種投資的產品可以用）的話，勢必要通過合規的、官方認證的一些渠道來做。放到crypto來說，即使這與Web3的本意有一點相悖，這也是必須要走的一種過程。

從技術上來說，香港的基建能承受Web3之都的需求嗎?

現在整個行業都還在演變當中，慢慢在向一個文明的方向走去，但其實很多技術上面的問題還沒有被解決，比如怎么將區塊鏈上的錢包和真實的KYC連在一起？

這個其實在技術上面是有可能做到的。比如每一次有人進來做完KYC以後，就有一個Token放到個人的錢包中，代表這個錢包地址已經經過了一些官方的認證。這樣每一次這個錢包去交易平臺交易，平臺識別到有這個Token的話，就知道他已經做過KYC認證，可以放心的讓這個用戶在這個平臺上進行交易。當然，這是想象可以有這樣的一種設計在裏面。至於如何去杜絕比如錢包被盜用等，如果在技術上面無法實現的話，可以用在流程上再做一次KYC、定期進行KYC等等的方法來配合在法規上面的要求，盡量達到防止身份或錢包被盜用。所以傳統金融的KYC如果想完全引入到Web3世界中，仍有很多其他的東西需要做。