香港证监会与金管局合办研讨会探讨代币化商业应用／Trezor调查确认3台设备被篡改／泰国SEC拟设稳定币每日存取款上限
约 12 分钟 · 6 条重点
01香港证监会与金管局合办研讨会，探讨代币化生态从试验走向商业应用
香港证监会与香港金管局于11月11日合办业界研讨会，逾200名金融界人士参与，讨论香港代币化生态如何从试验阶段迈向商业应用。会议召开前，持牌平台近期首次推出公募代币化基金的24/7二级市场交易，EnsembleTX项目则推进银行间代币化存款的24/7结算。研讨会重点讨论二级市场流动性、企业财资管理及基建优化；监管层表示将打通代币化产品、数码货币与金融基建之间的“通轨引流”，以加速商业普及。
业务影响
研讨会讨论的是代币化产品在二级市场流通、企业资金管理与结算基建之间如何衔接，尚未形成新的发牌条件或强制义务。持牌平台若计划让代币化基金份额实现24/7交易，需要先厘清该份额在现有证券制度下属于何种资产、投资者以何种权利登记持有，以及结算安排是否与交易时段匹配。银行参与代币化存款结算时，义务来源仍是金管局的银行监管要求与EnsembleTX的项目规则，而非研讨会上提出的方向性表述。
关注要点
- 代币化基金份额的投资者权利登记方式
- 24/7交易与结算时段的衔接安排
- EnsembleTX参与银行的准入与结算规则
02Trezor 调查经销商植入事件，确认 3 台设备被篡改，暂未收到用户资金被盗报告
硬件钱包厂商 Trezor 发布公告，通报针对经销商 CryptoBilis 所售设备遭硬件植入一事的调查进展：迄今已检查 48 名联系用户的设备，确认 3 台 Trezor Safe 5 被植入额外电路板，这些设备于 2026 年 8 月 20 日至 9 月 23 日期间通过 CryptoBilis 及其 Tokopedia、Shopee 店铺售出。该恶意硬件隐藏于主板与屏幕之间，可窃取屏幕显示的助记词及密码短语，并通过移动网络回传至攻击者服务器。Trezor 表示目前暂未收到用户资金被盗报告。为应对供应链风险，Trezor 已削减约 80% 的经销商网络，并对保留经销商实施更严格的采购与仓储管控；同时于 11 月 11 日发布 2.13.1 版本固件更新，以阻断现有批次植入物的数据抓取，并宣布自 2026 年 3 月起从 CryptoBilis 购买设备的用户均可申请免费更换新机或退款。
业务影响
本次事件的责任链条落在经销商销售环节：通过 CryptoBilis 及其 Tokopedia、Shopee 店铺购买 Trezor Safe 5 的用户，其设备在交付前已被植入可截取助记词与密码短语的电路板，攻击者由此可直接取得钱包控制权，而非利用固件漏洞。对硬件钱包厂商而言，经销商准入、采购来源与仓储环节的可追溯性直接决定供应链攻击的暴露面，Trezor 削减约 80% 经销商网络并收紧采购与仓储管控即是对这一关系的调整。就受影响用户而言，固件 2.13.1 的作用是阻断现有批次植入物的数据抓取，并不移除已存在的恶意硬件，因此更换设备或退款才是消除风险的手段；2026 年 3 月起经 CryptoBilis 购机的用户可据此主张更换或退款。
关注要点
- 核对设备是否于 2026 年 3 月起经 CryptoBilis 或其 Tokopedia、Shopee 店铺购买
- 检查助记词与密码短语是否曾在受影响设备屏幕上输入过
03泰国 SEC 拟将稳定币每日存取款上限设为 500 万泰铢
泰国证券交易委员会（SEC）发布草案，拟规定受监管加密运营商对每位客户的稳定币每日存款和取款分别设置 500 万泰铢（约 14.8 万美元）上限，该限制按每家运营商分别计算，存款与取款各自适用。监管机构表示，此举旨在遏制洗钱、网络犯罪以及规避跨境资金转移规则的行为。草案同时禁止稳定币在第三方钱包之间转入或转出，要求运营商核实客户对用于存取款的账户或钱包拥有所有权，并遵守 Travel Rule，即收集并共享转账相关信息，使用区块链分析工具识别与可疑活动关联的钱包地址。草案还要求加密交易所披露其做市商名单并说明这些做市商提供流动性的具体资产，加密经纪商不得为稳定币与泰铢交易对使用流动性提供商，部分场外交易将适用 300 万泰铢的最低门槛。该草案延续泰国 SEC 于 9 月启动的咨询，当时已提出稳定币转账限额及加强对加密运营商监管的建议，目前仍处草案阶段。
业务影响
草案一旦落地，在泰国受监管的交易所、经纪商和钱包服务商将成为直接义务主体：单客户稳定币日存取各 500 万泰铢的上限按每家运营商分别计算，意味着同一客户可在多家平台分别触顶，运营商的客户身份与钱包归属核验、Travel Rule 信息传递和链上地址筛查将决定其能否合规提供稳定币存取服务。禁止稳定币在第三方钱包间转入转出，会直接改变交易所内部划转与提币路径的设计，经纪商的稳定币兑泰铢报价也不能再依赖外部流动性提供商。做市商名单与流动性资产的披露要求，则把交易所的流动性安排纳入监管视野。由于文件仍为草案，上述义务尚未生效，现阶段宜按草案条款评估业务改造范围，而非立即调整系统。
关注要点
- 核对草案是否已生效及过渡期安排
- 确认自身是否属于受监管加密运营商范围
- 检查客户钱包归属核验与 Travel Rule 流程
04Unocoin：发现 BitGo 钱包存在异常转出，BitGo 已介入调查
印度加密交易平台 Unocoin 于 11 月 12 日发布安全事件更新称，当日发现其 BitGo 钱包中一个用于为 ERC-20 代币提供资金的 ETH 地址存在转出交易，BitGo 已介入调查。由于企业账户仍处于冻结状态，Unocoin 目前无法完整掌握所有异常交易的情况。Unocoin 表示，超过 90% 的用户加密资金存放在冷钱包中，目前正在从零重建全部服务器基础设施，预计需要约 4 至 5 个工作日。Unocoin 于 11 月 6 日首次发现未经授权的活动，并于当日 19:24 和 19:29 先后申请冻结其在 Fireblocks 和 BitGo 的企业账户；11 月 9 日再次发现未经授权的活动后暂停了全部服务。调查确认其基础设施已遭入侵，事件根本原因、影响范围及可能泄露的数据仍在调查中。
业务影响
Unocoin 的基础设施被入侵后，其在 Fireblocks 与 BitGo 的企业账户被冻结，说明托管与钱包服务商在客户资产异常流动时可直接限制账户操作，平台对冷钱包之外资产的实际控制力取决于服务商的配合。对使用第三方托管或多签钱包存放用户资产的平台而言，此次事件暴露的是密钥与服务器基础设施同时失守时的处置链条，而非单一钱包产品的缺陷。在根本原因和影响范围确认前，平台对外披露资产损失口径与用户资金兑付安排仍存在不确定性。
关注要点
- 核对托管协议中服务商冻结账户的触发条件与通知义务
- 确认冷钱包资产占比及私钥保管是否独立于被入侵服务器
- 梳理安全事件发生后向用户披露与报告的时间节点
05欧盟委员会公布《数字公平法案》草案，拟监管游戏战利品箱与虚拟货币
欧盟委员会公布《数字公平法案》草案，拟加强对游戏战利品箱、虚拟货币及未成年人付费机制的监管。草案目前仍处于提案阶段，相关条款尚未生效，后续仍可能经过讨论和修订。若草案最终成为法律，所有在欧盟开展业务的公司都将受到约束，并不限于在欧盟成员国注册的企业；各国政府届时可依据相关规定处以罚款，认为自身权益受损的消费者也可寻求经济赔偿。草案还针对广告及公关传播中的遗漏、歪曲和“暗黑模式”，并拟禁止面向儿童的个性化广告和定价。游戏相关条款要求销售虚拟货币的企业标明其现实货币价值，以及使用虚拟货币购买物品时对应的真实价格；未成年人的付费虚拟货币功能原则上应默认关闭，只有获得父母或监护人许可后才能开启。
业务影响
草案把游戏内虚拟货币的定价披露和未成年人付费默认关闭设为面向在欧盟运营企业的义务，一旦生效，销售虚拟货币、设计付费入口和投放广告的企业都要按同一标准调整产品与合同条款，违规将面临各国罚款和消费者索赔。目前文本仍在提案阶段，企业可先梳理虚拟货币与现实货币的兑换展示方式及未成年人账户的付费开关设置，但不宜据此认定已产生生效义务。
关注要点
- 确认草案是否最终通过及正式生效日期
- 核对虚拟货币现实价值与物品真实价格的标示要求
- 检查未成年人付费功能默认关闭及监护人授权流程
06香港警方捣毁虚拟货币OTC洗钱集团拘捕22人，3个月涉案金额达1.5亿港元
香港警方捣毁一个利用虚拟货币场外交易（OTC）渠道洗钱的跨境犯罪集团，拘捕22人，包括21男1女，年龄介乎21至54岁。警方调查发现，该集团自今年8月起活跃，通过招揽内地人员来港开设傀儡银行账户、提取犯罪所得现金，再将资金转移至集团经营的虚拟货币OTC店铺，通过买卖虚拟货币等方式清洗。警方表示，该集团在约3个月内清洗约1.5亿港元。
业务影响
香港警方此次行动针对的是以傀儡银行账户收取犯罪所得、再经自营OTC店铺兑换虚拟货币的完整资金链条，被追责的是具体参与开户、提现与兑换的人员，而非单纯的虚拟货币买卖行为本身。对在香港经营OTC兑换业务的机构而言，客户资金来源审查与可疑交易报告义务是这一链条上最容易被击穿的一环，一旦店铺被认定为洗钱通道，经营者与前线人员都可能面临刑事责任。目前案件处于拘捕阶段，尚未公布检控罪名与后续司法程序。
关注要点
- 核对OTC店铺对客户资金来源的审查记录与可疑交易报告是否留存
- 确认是否存在招揽他人开户、代持账户或代提现金的安排