新聞

隨著全球穩定幣與虛擬資產監管浪潮興起，臺灣《虛擬資產服務法》今年6月三讀通過、7月正式公布，虛擬資產監管制度逐步成形，銀行等金融機構要如何安全接軌虛擬資產業務，也帶動新的資安需求。9月8日，台灣資訊安全協會宣布成立「穩定幣暨虛擬資產安全聯盟」，首波集結中華資安國際、博士旺創新、凱特納科技與普鴻資訊4家業者，從數位金融安全基礎建設所需的不同關鍵能力切入，希望整合臺灣產業能量，逐步打造具國際競爭力的數位金融產業合作模式。

這次4家業者的角色，正好涵蓋金融機構導入虛擬資產服務的不同安全層次。在各家技術能力上，凱特納科技提供機構級數位資產金庫，涵蓋權限控管、簽章授權與落地部署；普鴻資訊聚焦HSM金鑰管理與保護、PQC Ready能力，以及金融合規介接；博士旺創新著重業務應用安全、金融核心系統整合與區塊鏈基礎建設安全；中華資安國際則負責24×7 SOC資安監控、威脅與異常交易偵測，以及事件應變與稽核。透過彼此技術合作，協助銀行建構可信任的數位資產安全基礎。

而這次聯盟成立，僅是第一步。展望後續，穩定幣暨虛擬資產安全聯盟將聚焦4項工作，包括彙整金融與產業需求、提出穩定幣與RWA等制度建言，建立涵蓋資產保管、金鑰治理、交易監控、事件應變與稽核等環節的安全參考架構，並推動跨企業產品介接與概念驗證（PoC）。此外，也將透過技術工作坊與產業交流，促進政府、金融機構、科技與資安業者之間的合作。

信任是虛擬資產落地金融體系的關鍵一步

近年來，虛擬資產應用不再侷限於加密貨幣交易，穩定幣（Stablecoin）與現實世界資產代幣化（RWA）已成為全球數位金融的重要發展方向，美國、歐盟、日本、新加坡等主要市場也陸續建立或完善相關監管框架。

在「穩定幣暨虛擬資產安全聯盟」成立儀式上，台灣資訊安全協會理事長洪光鈞指出，目前除了美國之外，多數國家在穩定幣安全標準制定與實際應用上仍處於發展初期，因此臺灣若能結合既有的科技研發、金融市場與資安能量，有機會從虛擬資產發行、應用、金鑰安全防護到託管系統，建立自主可控的數位金融安全生態圈，進一步掌握數位金融主權。

這項布局背後的關鍵仍在於信任。當虛擬資產進一步走入既有金融體系，如何建立信任成為業務能否順利落地的先決條件，資安正是其中不可或缺的一環。

隨著虛擬資產應用逐步普及，聯盟首波4家成員之一博士旺創新的執行長黃啟誠也以自身經驗為例。他長期使用虛擬資產，例如透過境外業者Red Dot Pay發行的加密貨幣簽帳卡（U卡），綁定智慧戒指感應付款，日常開銷幾乎全以虛擬資產結算。

不過，即使是高度使用者，他仍不敢將大部分虛擬資產託管在這類境外平臺，主要顧慮包括業者倒閉、跑路或發生重大資安事故等風險。黃啟誠因此期待，臺灣能出現更多合規且安全的虛擬資產服務提供者（Virtual Asset Service Provider，VASP）與資產保管服務；他並觀察到，像他一樣以虛擬資產進行日常支付的使用者，在臺灣其實已不算少數。

從使用者端的需求回到金融機構端，黃啟誠進一步指出，近兩年博士旺創新持續與金融機構接觸，目前已服務2家虛擬資產交易所及3家銀行。由於《虛擬資產服務法》相關監理細節仍待陸續明朗，不少金融機構目前仍處於規劃與評估階段，但已開始準備相關基礎設施。這次成立「穩定幣暨虛擬資產安全聯盟」，首波4家業者希望透過彼此的技術分工與合作，共同建構金融機構導入虛擬資產服務所需的不同安全環節。

從金融業角度來看，過去任職於金管會、現為台灣金融服務業聯合總會副秘書長的黃錫和更是強調，虛擬資產服務要真正進入金融體系，安全與合規仍是必須跨過的重要門檻。以資產保管為例，過去主管機關曾討論要求業者針對虛擬資產遭竊風險投保，但市場上缺乏願意承保的保險商品；會計師查核簽證也面臨類似問題，一旦熱錢包遭駭並造成重大損失，簽證機構同樣必須承擔風險，反映虛擬資產要建立金融級信任，底層安全機制不可或缺。

黃錫和指出，臺灣對虛擬資產的監理已從早期指導原則、登記制，進一步走向專法管理，金融機構與VASP也正為後續合規要求提前準備。另一方面，證交所今年也發布上市櫃公司虛擬資產內部控制指引，將「如何安全保管」與「如何安全收付」列為重要課題，也顯示虛擬資產安全已不只是交易所或VASP的問題，而將逐步延伸至上市櫃公司與整體金融市場。因此他認為，此時成立安全聯盟，正好切入產業從法規建立走向實際落地的關鍵階段。

從金鑰、鏈上應用到SOC監控，現在第一階段4家業者串起虛擬資產安全鏈

這次聯盟首波4家成員各自從不同資安能力切入，從最底層的私鑰與資產保管開始，延伸至HSM硬體加密、區塊鏈應用與銀行系統介接，最後再由SOC進行持續監控與事件應變。

在數位資產金庫（Digital Asset Vault）方面，凱特納科技創辦人暨執行長曾信田表示，銀行跨足虛擬資產業務時，首先面對的並非交易，而是如何安全保管控制資產的私鑰，包括金鑰分片如何保存、誰有權使用，以及發生異常時如何即時發現，因此凱特納提供自主金庫、金鑰分片管理，協助金融機構與企業建立安全、自主可控的數位資產保管能力

曾信田另也指出，目前部分虛擬資產託管方案仍高度依賴境外服務商與公有雲，一旦服務中斷，金融機構可能失去對金庫的即時控制；另一方面，過往多起虛擬資產遭竊事件，也反映私鑰、簽章流程與驗證權限一旦遭到攻破，可能直接造成資產損失。因此他強調，金融機構導入虛擬資產服務時，不只要確保私鑰與資產的自主掌控，也需要搭配持續監控與即時事件應變，共同面對「主權」與「安全」兩大課題，而這也需要聯盟各家業者透過技術分工共同解決。

硬體安全模組（HSM）是金融系統重要的資安基礎。長期投入此領域的普鴻資訊董事長林群國表示，隨著虛擬資產服務逐步導入銀行，安全需求不只涉及金鑰管理與保護，也牽涉後量子密碼（PQC）升級、金融核心系統，以及洗錢防制、聯徵、財金公司與主管機關申報系統等既有金融基礎架構的介接。

因此，普鴻在聯盟中不僅提供HSM與金鑰管理能力，也希望運用既有金融系統介接經驗，協助虛擬資產服務銜接銀行後端，降低重新開發介接的成本與時間。例如，普鴻推出去中心化創新服務閘道DeFi 10K與EKM 10K，將虛擬資產相關服務所需的加解密、金鑰管理及金融系統介接能力進一步整合，協助銀行既有系統與新型數位金融服務快速介接。

區塊鏈基礎建設與智能合約（或稱智慧合約），是虛擬資產服務落地的重要技術基礎。具備公鏈、側鏈、智能合約及交易所系統等開發經驗的博士旺創新，其執行長黃啟誠表示，博士旺在聯盟中主要負責智能合約部署、鏈上商業交易，以及相關業務應用安全。

對銀行而言，黃啟誠認為，VASP等服務能否真正落地，很大程度取決於能否與既有金融核心系統完成整合。銀行並不希望另外建立一套孤立的虛擬資產服務，而是希望能與企業網銀等既有金融服務銜接，讓客戶可直接在原有平臺使用相關服務。博士旺因此也將金融核心系統整合與區塊鏈基礎建設安全，視為推動虛擬資產服務進入銀行的重要環節。

最後，持續監控與事件應變，是虛擬資產服務維持安全營運的重要防線。中華資安國際總經理洪進福表示，中華資安在聯盟中主要負責服務上線後的持續營運安全，透過24×7 SOC進行帳號、交易與簽章異常偵測，同時涵蓋介面監控、稽核日誌蒐集與事件應變。

隨著金融業逐步參與虛擬資產保管、出入金等業務，資安與法遵要求也會同步提高。中華資安國際進一步將金融警示帳戶、國際區塊鏈情資與鏈上交易監控納入SOC偵測，協助業者即時發現異常交易與可疑行為，並與聯盟其他成員的金庫、金鑰管理與金融系統介接能力串接，補上虛擬資產服務持續監控與事件應變的一環。