SEC拟允许部分基金自行保管加密密钥，谁来监督托管？

美国证券交易委员会（SEC）于10月1日提出了一套新的托管框架，将允许投资顾问和受监管基金在特定情况下自行持有加密资产。这是一项提案，正在公开征求意见，它改变的不只是持有私钥者的身份。它提出的问题是：当交易不可逆转、密钥可被复制而不留痕迹、且监督资产的当事方同时也是控制资产的当事方时，基金能够提供什么证据。

SEC公告描述了依据《投资顾问法》和《投资公司法》制定的一套量身定制的框架。一些报道中的简短说法——即该机构只是批准了自我托管——跳过了关键措辞：在某些情况下。该新闻稿还涉及投资顾问审计以及面向受监管基金的经纪自营商托管服务。新闻稿只是通往拟议规则的地图，不能替代其条件本身。

投资者看到的是账户对账单和基金净资产值。这些数字背后的资产可能存放在一个由多个签名人控制的钱包中、一家信托公司的账户中，或顾问运营的系统中。公共区块链可以显示钱包余额。它无法识别合法受益人，无法证明某个签名人没有复制密钥，也无法显示是否存在链下质押使这些代币背负了负担。这一缺失的桥梁正是托管问题所在。

委员会实际摆在桌面上的内容

10月1日的提案适用于注册投资顾问和受监管基金，包括注册投资公司和商业发展公司。据SEC称，该提案将允许在明确规定的情形下以自我托管方式持有加密资产，并允许使用州信托公司作为客户和基金加密资产的托管人。其意见征询期自《联邦公报》发布之日起为60天。截至10月2日撰稿之日，仅该新闻稿本身并未确立最终合规日期，也未确立无条件的自我托管权利。

两套较旧的制度在此交汇。顾问托管规则关注的是顾问能够接触其资产的客户。基金制度则对投资组合证券及类似投资的保护提出了额外要求。将这两类机构都称为基金，或者说州信托公司会自动解决这两组问题，都会抹平该提案本应处理的区别。据其10月规则制定案卷，该机构还提议对顾问的财务报表审计以及面向基金的经纪自营商托管服务进行修改。

有一个有用的时间线。2025年，SEC工作人员发布了一项关于某些州特许信托公司的有条件不采取行动立场，crypto.news关于信托公司路径的报道对此进行了报道。工作人员立场不同于委员会规则。拟议框架现在邀请公众就包括自我托管在内的更广泛架构发表意见。早前白宫对该托管提案的审查是一个程序性里程碑，而非规则生效。

因此，这个标题问题是有条件的。谁有资格直接使用钱包、需要哪些保障措施，以及监管机构或审计师如何验证这些措施，都是需要从提案发布、评论意见和最终文本中解决的问题。顾问不能把一份新闻稿当作自己的豁免依据。

钱包余额不等于托管审计

假设某基金声称其持有10,000个单位的某种代币。审计师可以在选定的区块高度检查一个包含10,000个单位的地址。这证明了在某一时间点存在该余额。它并不能证明该基金独家控制该地址。它不能证明这10,000个单位属于该基金，而非多个存在重叠主张的客户。它也不能证明该地址没有为了快照而被短暂填充。

一种控制权测试是签名挑战：托管人从该地址签署一条唯一消息，而不移动代币。这是在挑战时点具备签名能力的证据。它不是独家签名能力、健全密钥存储或可强制执行客户主张的证据。链上测试转账增加了交易权限的证据，同时引入了转账和操作风险。两者都不能替代总账、客户子账、钱包库存与第三方确认之间的对账。

这是审查人员会要求的第一项计算。对于每一项资产，汇总客户和基金的权益；将该总额与所有受控地址加上未结算应收款、减去已承诺转账进行对账。然后在几个随机选定的日期重复这一过程，并检查截止日前后的资金变动。某一天的数字相等是可以人为制造的。一份可复现、带有授权记录和例外日志的账本更难伪造。链上提供外部资产数量。机构提供分配情况，而独立第三方必须对其进行测试。

密钥控制与资产可用性之间也存在区别。一个钱包可能需要硬件设备、多重批准和恢复流程。在市场动荡期间，签名人可能无法联系；恢复签名人可能成为单点故障；可升级合约可能改变转账规则。审计师需要检查治理、访问日志、备份政策、变更控制和事件演练，而不仅仅是一张余额截图。

密钥被复制的问题改变了证据

银行金库有一扇门。加密私钥是信息。员工可以复制签名密钥而不减少原件，而第一个可观察到的滥用行为可能就是转账本身。硬件安全模块和多方计算可以减少暴露并分割签名权限，但它们将审计从清点密钥转向检查产生签名的设备、软件、法定人数政策和管理权限。

考虑一种五分之三签名安排。这听起来比一个人持有密钥更安全，但这个标签说明不了什么。如果三份份额存储在同一个云租户中，或由拥有共同恢复权限的管理员控制，那么一个被攻破的边界仍可能授权交易。如果签名人可以更改法定人数或白名单，那么更改流程就与签名本身同样重要。独立审查应询问：谁可以批准、谁可以更改批准规则、谁可以恢复份额，以及谁实时看到这些事件。

自我托管也改变了错误的经济后果。传统中介或许能够在结算前撤销错误的内部账簿记录。一笔达到最终性的已签名链上转账通常无法由顾问召回。追回可能取决于接收方、代币发行方的冻结权力或诉讼。这些是不同的救济方式，时间安排也不同。一项声称管理人将尝试追回资产的政策，并不等同于隔离账户或保险公司可强制执行的承诺。

允许直接控制的最有力理由是实际需要。有些资产是网络原生的，依赖于及时的质押、治理、赎回或合约交互。强制每项操作都通过不合适的第三方可能会增加延迟和新的集中度风险。美国证券交易委员会的提案回应了这种不匹配。但获得操作自由的基金也继承了向验证者准确展示其如何限制这种自由的需要。

州信托选项移动了边界

提案中的自我托管条件比新闻稿中的简略说法更为狭窄。委员Hester Peirce的关于拟议托管规则的声明指出，顾问首先需要确定对于给定的加密资产没有可用的许可托管人，并且每季度重复这一确定。这是一种稀缺性例外，而非在同等可用的持有热门代币方式之间进行常设选择。它还将合格服务的市场作为合规测试的一部分：如果托管人后来支持该资产，顾问的前提可能会改变。

重复的确定需要书面记录。联系了哪些托管人，提供了哪种资产和网络版本，请求了哪些服务，以及为什么每个提供商都不可用？一个能够存储ERC-20代币但无法处理质押奖励或桥接提款的托管人，在最终文本下可能满足也可能不满足投资组合的具体需求。顾问不应通过悄悄地将可用性重新定义为便利性或价格来解决这个问题。季度记录允许审查员将声称的障碍与当时的实际市场供应进行比较。

逐季度的比较比初始备忘录要求更高。想象一下，一位顾问在1月份因为没有任何许可托管人支持其链而自行托管了一种新发行的代币。一家提供商在3月份增加了支持。在下一次评估时，顾问应记录该提供商的实际服务，它是否能保护相同的资产，以及任何迁移不可行的原因。根据最终规则，它可能需要一份记录在案的迁移头寸计划。迁移的价格、税务或交易后果以及运营风险是真实存在的，但不能在没有阅读其文本的情况下假定拟议的门槛会免除这些。

另一种情况是基金通过一份合约持有代币，而合格托管人可以查看但无法独立从中提款。可用性是指保管收据代币、操作合约，还是仅在赎回后存储资产？答案决定了自我托管是针对资产的例外还是针对投资策略的例外。评论者可以通过具体的资产和工作流程示例来澄清这一点，而不是泛泛地请求灵活性。审查员将需要一个可重复的标准，而不是为每笔有利可图的交易提供不同的定义。

顾问还应保留被拒绝的投标和服务描述。如果托管人提供了支持，但顾问因费用高昂而拒绝，记录应说明这一点。如果托管人缺乏必要的提款功能，顾问应展示这一限制。这些区别有助于独立审查员判断例外是由不可用的保管触发的，还是由商业偏好触发的。它们也保护了在快速变化的市场中做出可辩护决定的公司。

Peirce的声明还明确了自我托管辩论的范围：在有限条件下，顾问客户资产和受监管基金资产都在考虑范围内。这并不会瓦解它们的治理。在基金中，董事会和服务提供商需要理解为什么适用例外以及何时结束。单独管理账户的客户需要一份可理解的披露，说明谁签署以及主张位于何处。一家公司可能对两者都负责，但证据链应确定每个钱包属于哪个法律池。

州信托公司可能专门从事钱包运营和隔离，同时将监管机构、审查和外部公司实体引入链条。Crypto.news报道了该类别早先的有条件SEC工作人员路径。10月的提案将在规则制定中处理它。特许状或信托公司标签都不能证明特定提供商的运营控制；特许状确定了监督制度和负责其义务的公司。

使用信托公司的顾问应询问谁拥有钱包，谁是记录客户，公司是否混合地址，以及破产管理人将如何识别客户财产。即使网络仪表板看起来相同，答案也可能不同。合同可以说资产是为客户持有的，而运营账簿却难以识别哪些代币属于哪个客户。这是一个法律和证据问题，而不是区块链吞吐量问题。

如果信托公司将签名技术分包出去，同样的询问也适用。平台提供商可能提供钱包软件、恢复服务或交易筛选。信托公司可以继续作为指定托管人，而外包方有足够的访问权限来中断提款或更改交易政策。监管机构和顾问应通过分包商绘制实际控制路径。私钥的位置和法律责任的所在地可能不同。

存在一种抵消性的好处。独立的托管人可以提供独立的对账单和确认函给审计师。然而，如果托管人依赖顾问自己的持仓文件，并且从不测试底层钱包，那么独立性就不是自动的。一份稳健的外部确认应识别地址或可验证的库存、客户权益、产权负担以及托管人知悉的范围。一份通用的余额证明则会让最难的问题悬而未决。

基金的股东隔了两层

在注册基金中，股东拥有的是份额，而不是对某个特定比特币输出或代币地址的直接索取权。基金根据其治理文件拥有或控制投资组合，而服务提供商则维护托管、会计和过户代理记录。股东若询问资产在哪里，必须穿越这些层级。仅凭区块链只能回答路径的最后一部分。

这就是为什么托管环节的故障可能在任何已确认损失之前就成为一个定价事件。如果基金无法确定库存或其转移库存的权利，它可能在计算资产净值、满足赎回以及在披露中陈述其持仓时面临不确定性。交易所的流动性无法修复丢失的私钥或有争议的财产主张。该提案的审计和基金托管变更应与其钱包条款一并解读，因为它们决定了错误如何被检测和传达。

设想一种全天候交易的代币，而基金每日确定资产净值。在定价截止时间和审计确认之间，资产可能移动，智能合约可能变化，托管人可能暂停转账。控制措施需要一个可辩护的截止点和后续事件审查。与每日账本关联的每日钱包快照，并解释例外情况，比每月储备声明是更好的记录。当策略本身在不同场所、验证者或合约之间移动代币时，所需的证据量会增加。

此前由crypto.news报道的富兰克林基金代币化货币市场豁免说明了该类别为何重要：注册基金可以接触区块链记录的资产，而不必给每个股东一个钱包。这并不意味着SEC已经认可了每种代币的每一种托管模式。针对特定产品的豁免和拟议的一般规则具有不同的适用范围。

代币的控制权可能存在于其合约中

私钥并不穷尽控制权。代币发行方有时可以冻结或重新发行余额。桥管理员可能能够更改资产在另一条链上的表示。借贷协议可能持有可被清算的抵押品。质押安排可能阻止立即提款。就托管而言，持有代币的地址只是资产控制图中的一行。

假设基金将代币存入智能合约并获得一个收据代币。钱包不再持有原始资产。账本必须解释这种交换以及基金对合约的可执行索取权。审计师需要知道赎回是否无需许可，第三方管理员是否可以暂停赎回，以及基金是否将原始代币和收据代币计为两项资产。如果报告拼接了不兼容的单位，就可能出现重复计算。

检查者可以通过交易追踪来测试这一点：从基金的收购开始，追踪代币进入合约，检查合约的当前状态，并将收据与投资组合会计条目进行核对。区块链浏览器使追踪成为可能。它并不决定会计分类或法律定性是否正确。Crypto.news对Securitize顾问地位的报道说明了顾问、代币化和托管角色如何共存而不变得可以互换。

同样的教训适用于质押。验证者运营商可能运行基础设施而不拥有提款凭证。托管人可能拥有提款凭证但委托操作签名。如果资产被罚没或锁定，经济上相关的损失可能在没有私钥被盗的情况下发生。一项承认加密货币的托管规则应促使公司分别记录每一种权限。

第一次检查应遵循一次失败的转账

一次演练能暴露的问题，比一份精心打磨的控制备忘录更多。选取一条普通的提款指令，模拟签名者失败、设备疑似被入侵，以及目的地地址在最后一刻被更改。哪一项审批会阻止付款？哪个人可以更换签名者？基金在多长时间内无法履行自身的赎回或结算义务？答案可以用分钟、访问权限和签名记录来衡量。这使得它成为一个有用的检查问题，无论托管人是外部机构还是顾问本身。

现在测试相反的情况：一笔未经授权的转账已经到达链上。事件日志应显示检测时间戳、受影响的交易、仍面临风险的钱包，以及有权通知董事会、客户和监管机构的实体。一只在三个网络上持有同一资产的基金必须识别全部三个网络，而不仅仅是触发警报的那个地址。如果代币合约具有发行方冻结功能，由谁联系发行方，依据什么授权？如果没有，恢复计划就不能承诺冻结。

密钥恢复计划也值得同样的怀疑。恢复路径可以在设备丢失后恢复控制权，但能够调用它的一方也可能能够从合法持有人手中夺取控制权。有意义的测试涵盖恢复本身的授权、独立通知，以及一段可以阻止有争议变更的时期。记录一次演练的实际结果，包括失败的步骤。声称钱包是多签并不能替代这一点。

这些程序需要花钱，并且可能使这一有限例外对较小的顾问缺乏吸引力。这是评论中一个合理的担忧。不过，比较对象是保护金融客户资产的成本，而不是消费级硬件钱包的价格。对于某些资产或结构，较轻的监管制度可能是相称的，但其边界需要一个客户和检查人员都能看到的理由。

反方论点是监管摩擦

美国证券交易委员会表示，其现有规则是在这一资产类别出现之前制定的，并且阻碍了顾问提供与加密货币相关的建议。主席保罗·阿特金斯将该提案描述为一条合规路径，因为框架未能跟上步伐。这是一个严肃的观点：投资者可能寻求负有受托责任、拥有书面控制措施和公开基金披露的顾问，而当前的模糊性却将风险敞口推向透明度较低安排。

过于狭窄的合格托管人名单也可能将资产集中在少数提供商手中。如果一项服务出现故障或实施广泛冻结，许多基金可能同时受到影响。只要公司能够满足明确且可测试的标准，直接托管的有条件路径可能会分散运营风险。更广泛选择的好处是真实存在的，即使没有一种单一设计对每个投资组合都是最佳选择。

答案不是假定额外的实体总能降低风险。而是要比较完整的损失路径。专业托管人可能因网络攻击、破产、记录不良或外包技术故障而失败。顾问可能因隔离薄弱、人员存在利益冲突或恢复不足而失败。规则可以要求双方提供证据，并让客户看到他们购买的是哪种安排。公众评论应聚焦于测试负担和披露，从而将托管主张转化为可独立核查的东西。

一家公司可能会指出某项保单，作为资产安全的证明。保单是一份带有限额、除外责任和条件的合同，而不是丢失代币的副本。投资者需要知道被保险方、受保钱包、受保事件和总限额。保护服务提供商自身损失的保单，可能只给基金提供间接索赔。许多客户共享的限额可能在某一基金的损失得到全额赔付之前就已耗尽。保险可以缓和一次事件；它无法验证日常托管，也无法治愈一项失败的财产索赔。

储备证明鉴证也是如此。它可能验证所观察到的资产池在某一特定时刻达到了所述余额。它可能不会测试负债、整个期间的控制、链下产权负担或客户层面的分配。范围段落与那个大数字同样重要。如果鉴证人测试的是管理层提供的地址样本，报告应当说明这一点。如果它针对独立账本测试全部总体，那是更强的证据。两种格式都不会悄然变成财务报表审计。

对于基金投资者而言，保证体系至少有四个层次。链上持仓显示地址处的资产。签名挑战或独立托管人记录将实体与控制权联系起来。基金账簿将这些资产分配到投资组合，并反映应付款项或义务。法律文件在服务提供商倒闭时确定受益所有人和权利。一个层次的缺陷不能通过将另一个层次的证据加倍来修补。多两张区块浏览器截图并不能修复缺失的隔离协议。

这正是该提案提及顾问审计的意义所在。在改变审计义务的同时改变托管范围，可能要么加强证据链，要么在测试它的人之间留下缺口。评论者应当询问哪位独立专业人士确认每项断言，以及哪项断言不在业务约定范围内。投资者有权在将报告的印章视为保证之前，就报告的覆盖范围得到一个直截了当的答案。

草案在10月2日无法解决的事项

SEC已提出规则，但尚未通过。联邦公报的发布启动60天评论期；最终规则可能改变条件、生效日期和过渡条款。诉讼或随后的机构行动可能改变该框架。市场不应将一份新闻稿定价为某个特定基金立即获准将其资产从现有托管人处取出。

联邦托管规则也不会抹去州财产法、破产债权、合同条款、基金治理或保险除外责任。一家公司的技术控制证明只有与这些法律事实相结合才有用。公告中没有公开证据表明任何特定的信托公司或顾问未能保护资产。这是一个拟议系统的设计问题。

最具揭示性的披露可能平淡无奇：一份将客户权益与可验证钱包对应起来并指明谁可以更改签名人的明细表。如果最终框架使该记录可以独立测试，它就能扩大准入，而无需让投资者信任一个未经检查的黑箱。如果它让对账保持不透明，那么将私钥移入基金内部，基本上只是移动了提出同一问题的地点。

值得关注的内容

• 《联邦公报》发布：实际发布日期才启动美国证券交易委员会（SEC）的60天意见征询期；请查看最终备案截止日期。
• 自我托管条件：阅读哪些顾问或基金符合资格，以及第三方审查、隔离和恢复测试是否为强制性要求。
• 州信托处理：查看最终定义、审查标准以及对分包钱包运营的处理方式。
• 基金披露：寻找对签署人、产权负担、提款限制和重大托管事件的具體描述。
• 独立对账：询问审计师能否随时间将客户权益与控制地址（包括合约中的资产）进行匹配。

常见问题