跳到主要内容

3 篇博文 含有标签「合规」

查看所有标签

xStocks 在 Solana 上: 开发者的代币化股票实用指南

· 阅读需 8 分钟
Dora Noda
Software Engineer

xStocks 是代币化的、与美国股票和 ETF 1:1 对应的资产,在 Solana 上以 SPL 代币的形式铸造。它们的设计能够像其他链上资产一样自由转移和组合,将传统股票市场的摩擦压缩为钱包原语。对于开发者而言,这打开了金融应用的新前沿。

Solana 是实现此创新的理想平台,主要归功于 Token Extensions。这些原生协议特性——如元数据指针、可暂停配置、永久委托人、转账钩子和保密余额——为发行方提供了所需的合规杠杆,同时保持代币与去中心化金融生态的完全兼容。本指南提供了将 xStocks 集成到 AMM、借贷协议、结构化产品和钱包中的模式与实务检查,确保遵循必要的法律和合规约束。


核心理念:行为如代币的股票

对大多数人而言,持有美国股票意味着需要中介、受限的交易时间以及令人沮丧的结算延迟。xStocks 打破了这一切。想象一下在午夜购买一小部分 AAPLx,立即在钱包中结算,然后在去中心化金融协议中将其用作抵押——这一切都在 Solana 的低延迟、低费用网络上完成。每个 xStock 代币对应由受监管托管人持有的真实股份。股息、拆分等公司行为通过链上可编程机制处理,而非纸质流程。

Solana 在此的贡献不仅是廉价快速的交易,更是 可编程合规。Token Extensions 标准为之前传统代币缺失的原生功能提供支持:

  • 转账钩子 用于 KYC 限制。
  • 保密余额 在可审计的前提下提供隐私。
  • 永久委托 用于法院指令下的操作。
  • 可暂停配置 用于紧急冻结。

这些企业级控制直接内置于代币铸造合约,而非作为临时应用代码附加。


xStocks 的工作原理(以及对你的应用意味着什么)

发行与背书

流程非常直接:发行方获取标的股票的实际股份(例如 Tesla),并在 Solana 上铸造对应数量的代币(1 股 TSLA ↔ 1 TSLAx)。定价和公司行为数据由专用预言机提供。在当前设计中,股息会自动再投资,持有者的代币余额随之增加。

法律包装

xStocks 以基础招股说明书形式发行,作为 证书(或追踪器),并于 2025 年 5 月 8 日获得列支敦士登金融监管局(FMA)批准。关键在于,这并非美国证券发行,分发受限于司法管辖区。

持有者获得的权益(以及不具备的)

这些代币为持有者提供 价格敞口 与无缝转移能力。但它们 不赋予股东权利,例如公司投票权。设计应用的用户体验和风险披露时,必须明确这一点。

交易场所

虽然 xStocks 最初通过中心化合作伙伴上线,但很快在 Solana 的 DeFi 生态中扩散,出现在 AMM、聚合器、借贷协议和钱包中。合格用户可以自行托管代币,全天候链上转移;中心化平台通常提供 24/5 的订单簿访问。


为什么 Solana 对代币化股票尤为实用

Solana 的真实资产(RWA)工具链,尤其是 Token Extensions,使团队能够在不构建孤岛的情况下,将 DeFi 的组合性与机构合规相结合。

Token Extensions = 合规感知的铸造

  • 元数据指针:保持钱包和区块浏览器同步最新的发行方元数据。
  • 可伸缩 UI 金额配置:发行方可通过简单乘数执行拆分或股息,自动更新用户钱包中显示的余额。
  • 可暂停配置:在事故或监管事件期间提供“紧急停止”开关。
  • 永久委托:授权方可转移或销毁代币,以满足法律指令。
  • 转账钩子:在转账时执行白名单/黑名单检查,确保仅合格钱包可交互。
  • 保密余额:为可审计的隐私交易铺路。

你的集成必须 在运行时读取 这些扩展,并相应调整行为。例如,若代币被暂停,应用应立即停止相关操作。


构建者模式:正确集成 xStocks 的实践

AMM 与聚合器

  • 尊重暂停状态:若代币铸造被暂停,立即停止兑换和流动性提供,并向用户发出明确提示。
  • 使用预言机守护的曲线:实现由稳健预言机保护的定价曲线,以应对标的交易所关闭时的波动。离线时需优雅管理滑点。
  • 暴露流动性来源:清晰标示流动性来自 DEX、CEX 还是钱包兑换。

借贷与借款协议

  • 跟踪公司行为:使用发行方或场所的 NAV 预言机,并监控 Scaled UI Amount 更新,防止拆分或股息导致的抵押价值静默漂移。
  • 设定智能折扣率:根据离线市场暴露和不同股票代码的流动性差异,设定合适的抵押折扣率。这些风险参数不同于稳定币。

钱包与资产组合应用

  • 渲染官方元数据:从铸造的元数据指针获取并展示官方代币信息。明确标注 “无股东权利”,并在代币详情页显示司法管辖区标识。
  • 呈现安全轨道:在加载代币时检测其扩展集合,并向用户展示是否可暂停、是否有永久委托或转账钩子等信息。

结构化产品

  • 创建新型工具:将 xStocks 与永续合约或期权等衍生品组合,构建对冲篮子或结构化收益票据。
  • 文档要清晰:确保文档明确说明底层资产的法律属性(证书/追踪器),以及股息等公司行为的处理方式。

合规、风险与实务检查

司法管辖区限制

xStocks 地域受限。不向美国人士提供,也在若干主要司法管辖区不可用。你的应用必须阻止不符合资格的用户进入无法合法完成的流程。

投资者认知

欧洲监管机构警示,部分代币化股票可能被投资者误解为拥有实际股权的资产。你的用户体验必须清晰说明代币代表的内容。

模型差异

并非所有 “代币化股票” 都相同。有的属于衍生品,有的是由特殊目的实体(SPV)持股的债券凭证,还有的正向法律等价的数字股份。设计功能和披露时需匹配具体模型。


多链背景与 Solana 的核心地位

虽然 xStocks 起源于 Solana,但已扩展至其他链以满足用户需求。对开发者而言,这带来了跨链 UX 与在不同代币标准(如 SPL 与 ERC‑20)之间保持合规语义一致性的挑战。即便如此,Solana 的亚秒级最终性和原生 Token Extensions 仍使其成为链上股票的首选场所。


开发者检查清单

  • 代币内省:读取铸造的完整扩展集合(元数据指针、可暂停、永久委托等),并订阅暂停事件以安全失效。
  • 价格与行为:从可靠预言机获取价格,并监控 scaled‑amount 更新,以正确处理股息和拆分。
  • UX 清晰度:显著展示合格要求和权利限制(如无投票权),并在应用内链接官方发行方文档。
  • 风险限制:应用适当的 LTV 折扣率,实施离线时段流动性保护,并构建与铸造可暂停状态关联的断路器。
  • 合规对齐:若启用转账钩子,确保协议在转账层面执行白名单/黑名单检查;否则在应用层对用户流进行门控。

为什么此时此刻尤为重要

xStocks 的早期吸引力显示出真实需求,已在多家交易所上线、实现即时 DeFi 集成,并产生可观的链上交易量。虽然这仍是 120 万亿美元全球股票市场的极小切片,但对构建者的信号已然明确:原语已经就绪,基础设施已搭建,绿地正待开垦。

面向大规模低延迟安全交易执行的数字资产托管

· 阅读需 7 分钟
Dora Noda
Software Engineer

如何设计一个以市场速度运行的托管与执行堆栈,同时不牺牲风险、审计或合规性。


执行摘要

托管与交易已经不能再各自为政。在当今的数字资产市场,安全持有客户资产只是成功的一半。如果在价格波动的毫秒窗口内无法完成交易,你将错失收益,并让客户面临可避免的风险,例如最大可提取价值(MEV)、对手方失效以及运营瓶颈。现代的托管与执行堆栈必须将前沿安全技术与高性能工程相结合。这意味着要集成多方计算(MPC)和硬件安全模块(HSM)等签名技术,使用策略引擎和私有交易路由来降低抢先交易风险,并通过主动/主动的基础设施以及场外结算来降低场所风险并提升资本效率。关键是,合规不能是事后补丁;旅行规则数据流、不可变审计日志以及映射到 SOC 2 等框架的控制必须直接嵌入交易流水线。


为什么“托管速度”现在如此重要

历史上,数字资产托管机构只专注于一个核心目标:别丢钥。但随着需求演进,最佳执行市场完整性同样不可妥协。当你的订单在公共内存池中传播时,复杂的参与者可以看到、重排甚至“夹层”你的交易,从而提取利润,这正是 MEV 的表现,直接影响执行质量。通过使用私有交易中继将敏感订单隐藏在公共视野之外,是降低此类风险的有效手段。

与此同时,场所风险始终是隐患。将大额资产集中在单一交易所会产生巨大的对手方风险。场外结算网络提供了解决方案,使机构能够使用交易所提供的信用进行交易,而资产仍然保存在隔离、破产隔离的托管中。这种模式显著提升了安全性和资本效率。

监管机构也在弥合监管缺口。金融行动特别工作组(FATF)旅行规则的强制执行,以及 IOSCO、金融稳定委员会等机构的建议,正推动数字资产市场向**“同风险、同规则”**框架靠拢。这意味着托管平台必须从底层就构建合规的数据流和可审计的控制。


设计目标(“好” 的标准)

高性能托管堆栈应围绕以下核心原则构建:

  • 可预算的延迟:从客户意图到网络广播的每毫秒都必须被测量、管理,并通过严格的服务水平目标(SLO)强制执行。
  • MEV‑弹性执行:敏感订单默认走私有通道。公开内存池仅在明确选择时才使用,绝非不可避免的默认。
  • 具备真实保证的密钥材料:私钥绝不能离开受保护边界,无论是分布在 MPC 分片、存放于 HSM,还是隔离在可信执行环境(TEE)中。密钥轮换、阈值强制和可靠的恢复流程是基本要求。
  • 主动/主动可靠性:系统必须对故障具备弹性,需要多区域、多供应商的 RPC 节点和签名器冗余,并配合自动断路器和紧急关闭开关,以应对场所或网络事故。
  • 合规即构建:合规不能是事后补丁。架构必须内置旅行规则数据、AML/KYT 检查以及不可变审计链路,所有控制直接映射到 SOC 2 信任服务准则等公认框架。

参考架构

以下示意图展示了满足上述目标的托管与执行平台的高层架构。

  • 策略与风险引擎 是整个系统的核心闸门,负责在订单进入执行层之前执行风险评估、阈值检查以及合规验证。
  • 合规服务 提供旅行规则、KYT(了解你的交易)以及白名单功能,确保所有出站交易满足监管要求。
  • 签名编排器 协调不同的签名后端:MPC 集群提供阈值安全,HSM 提供硬件根信任,TEE 提供隔离执行环境,密钥管理子系统确保所有密钥操作符合 FIPS 标准。
  • 执行路由器 根据策略引擎的指示将交易路由至私有中继、主 RPC 或故障转移 RPC。
  • 可观测性层 通过内存池与区块订阅、交易后对账以及不可变审计日志实现全链路可追溯,帮助运营团队快速定位异常并满足审计需求。

  • 策略与风险引擎 是中心闸门,负责在订单进入执行层之前执行风险评估、阈值检查以及合规验证。
  • 合规服务 提供旅行规则、KYT(了解你的交易)以及白名单功能,确保所有出站交易满足监管要求。
  • MPC 集群 - t-of-nHSMTEE - 已 attested密钥管理 - 符合 FIPS 共同构成多层次的密钥保护与签名方案。
  • 执行路由器 根据策略引擎的指示将交易路由至私有中继、主 RPC 或故障转移 RPC。
  • 可观测性层 通过内存池与区块订阅、交易后对账以及不可变审计日志实现全链路可追溯,帮助运营团队快速定位异常并满足审计需求。

关键技术要点

  • 策略与风险引擎 负责对每笔交易执行实时风险评估、阈值检查以及合规验证。
  • 签名编排器 根据策略结果动态选择 MPC、HSM 或 TEE 进行签名,确保私钥始终在受信任环境中。
  • 私有交易中继 将敏感交易在公共内存池之外传播,只有经过授权的构建者才能将其提交至链上。
  • 场外结算 通过使用交易所信用进行交易,同时保持资产在隔离托管中,实现资本效率与安全的双赢。
  • 可观测性层 通过实时内存池监控、区块订阅以及不可变审计日志,提供端到端的可追溯性和审计准备。

结论

通过将多方计算、硬件安全模块、可信执行环境以及主动/主动的基础设施相结合,数字资产托管平台能够在毫秒级别实现市场速度的交易执行,同时保持最高的安全、合规和审计标准。场外结算进一步降低了场所风险,并为机构提供了更高的资本利用率。内置的合规与可观测性层确保了监管透明度和运营弹性,使平台能够在快速演进的数字资产生态系统中保持竞争优势。

瞬时托管,长期合规:加密支付创始人实战手册

· 阅读需 6 分钟
Dora Noda
Software Engineer

如果你正在构建一个加密支付平台,可能会对自己说:“我的平台只会在几秒钟内触及客户资金。这算不上托管,对吧?”

这是一个危险的假设。对全球的金融监管机构而言,即使是瞬时对客户资金的控制也会让你成为金融中介。那短暂的触碰——哪怕只有几秒钟——也会触发长期的合规负担。对于创始人来说,了解监管的实质,而不仅仅是代码的技术实现,才是生存的关键。

本实战手册提供了一份清晰的指南,帮助你在复杂的监管环境中做出明智、战略性的决策。

1. 为什么“仅几秒”仍会触发资金转移规则

问题的核心在于监管机构如何定义控制权。美国金融犯罪执法网络(FinCEN)立场明确:任何**“接受并转移可转换的虚拟货币”**的行为,都被归类为资金转移者(money transmitter),不论资金持有时间长短。

这一标准在 FinCEN 的2019 年 CVC 指南以及2023 年 DeFi 风险评估中再次得到确认。

一旦你的平台符合此定义,你将面临一系列严格要求,包括:

  • 联邦货币服务业务(MSB)注册:向美国财政部注册为货币服务业务。
  • 书面的反洗钱(AML)计划:建立并维护完整的反洗钱计划。
  • CTR / SAR 报告:提交货币交易报告(CTR)和可疑活动报告(SAR)。
  • Travel‑Rule 数据交换:对特定转账交换发起方和受益方信息。
  • 持续的 OFAC 制裁筛查:对用户进行实时制裁名单检查。

2. 智能合约 ≠ 免除责任

许多创始人认为,使用智能合约自动化流程可以免除托管义务。然而,监管机构采用功能性测试:他们关注谁拥有实际控制权,而不是代码如何编写。

金融行动特别工作组(FATF)在其2023 年针对性更新中明确指出,“营销用语或自称为 DeFi 并不能决定监管身份”。

如果你(或你控制的多签)能够执行以下任意操作,你即为托管人:

  • 通过管理员密钥升级合约。
  • 暂停或冻结资金。
  • 通过批量结算合约划转资金。

只有没有管理员密钥由用户直接签名结算的合约,才可能避免被标记为虚拟资产服务提供商(VASP)——即便如此,你仍需在 UI 层集成制裁筛查。

3. 许可地图一览

合规路径在不同司法管辖区差异巨大。以下是全球许可格局的简化概览。

区域当前监管机构实际障碍
美国FinCEN + 各州 MTMA 许可双层监管、昂贵的保证金和审计。迄今已有 31 个州通过《资金转移现代化法案》(MTMA)。
欧盟(现行)各国 VASP 注册机构资本要求低,但在 MiCA 完全实施前,通行证(passporting)权受限。
欧盟(2026)MiCA CASP 许可资本要求 €125k–€150k,但提供覆盖 27 个欧盟市场的单一通行证制度。
英国FCA 加密资产注册需要完整的 AML 程序以及符合 Travel Rule 的接口。
新加坡 / 香港PSA(MAS)/ VASP 条例强制资产托管分离,并要求客户资产 90% 冷钱包存放。

4. 案例研究:BoomFi 的波兰 VASP 路线

BoomFi 的策略为面向欧盟的初创公司提供了优秀模型。该公司于 2023 年 11 月在波兰财政部完成注册,取得 VASP 资格。

为何可行:

  • 快速且低成本:审批流程不到 60 天,且没有硬性资本下限。
  • 提升可信度:注册标志合规,是欧盟商户必须对接的 VASP 资质之一。
  • 顺畅衔接 MiCA:该 VASP 注册可直接升级为完整的 MiCA CASP 许可,保留已有客户基础。

这种轻量化做法帮助 BoomFi 率先进入市场并验证产品,同时为后续更严格的 MiCA 框架以及未来的美国布局做好准备。

5. 为构建者提供的去风险模式

合规不应是事后补救,而必须从产品设计之初就嵌入。以下是几种可降低许可风险的模式。

钱包架构

  • 用户签名、合约转发流程:使用 ERC‑4337 Paymaster 或 Permit2 等方案,确保所有资金流动均由用户显式签名并发起。
  • 管理员密钥时间锁自毁:合约审计部署后,使用时间锁永久放弃管理员权限,证明你不再拥有控制权。
  • 与持牌合作伙伴分片托管:批量结算时,委托持牌托管机构处理资金聚合与分配。

运营层面

  • 交易前筛查:使用 API 网关在交易真正执行前注入 OFAC 与链上分析评分,对地址进行审查。
  • Travel Rule 消息中转:针对跨 VASP、金额 ≥ $1,000 的转账,集成 TRP 或 Notabene 等解决方案完成必需的数据交换。
  • 先 KYB 后 KYC:先对商户进行 “了解你的业务”(KYB)审查,再为其用户执行 “了解你的客户”(KYC)。

扩张顺序

  1. 欧洲 via VASP:先在欧洲取得国家级 VASP 注册(如波兰)或英国 FCA 注册,以验证产品‑市场匹配。
  2. 美国 via 合作伙伴:在州级许可尚未完成前,通过与持牌赞助银行或托管机构合作进入美国市场。
  3. MiCA CASP:升级为 MiCA CASP 许可,锁定 27 国欧盟通行证。
  4. 亚太:若业务量与战略目标足以支撑资本投入,可在新加坡(MAS)或香港(VASP 条例)获取许可。

关键要点

对所有加密支付领域的创始人而言,请牢记以下核心原则:

  1. 控制权高于代码:监管机构关注谁能移动资金,而非代码如何组织。
  2. 许可是战略:轻量化的欧盟 VASP 能打开大门,同时为更高资本要求的地区做好准备。
  3. 从早期设计合规:无管理员合约和具制裁感知的 API 能为你赢得融资与运营的跑道。

请像会被审计一样构建产品——因为只要你动用客户资金,就一定会被审查。