بانک مرکزی در آستانه آغاز مجوزدهی به صرافی‌های رمزارزی؛ الزامات امنیتی و اثبات ذخایر جدی‌تر می‌شود
بانک مرکزی از ابلاغ کاربرگ‌های اخذ مجوز صرافی‌های رمزارزی خبر داد. الزامات امنیتی، اثبات ذخایر و حفاظت از دارایی کاربران را بررسی می‌کنیم.
بانک مرکزی دقیقاً چه چیزی را اعلام کرده است؟
بر اساس اطلاعیه منتشرشده از سوی روابط عمومی بانک مرکزی در ۱۸ آبان ۱۴۰۵، کاربرگ‌های اخذ مجوز فعالیت سکوهای تبادل انواع رمزارز به‌زودی ابلاغ خواهد شد.
این اطلاعیه در چارچوب اختیارات قانونی بانک مرکزی و با استناد به قانون بانک مرکزی جمهوری اسلامی ایران منتشر شده است.
نکته مهم این است که خبر اخیر به معنای صدور مجوز برای صرافی‌های رمزارزی نیست؛ بلکه از آماده‌سازی و ابلاغ کاربرگ‌های موردنیاز برای ورود متقاضیان به فرایند دریافت مجوز حکایت دارد.
بانک مرکزی پیش‌تر در مهرماه ۱۴۰۴ دستورالعمل تأسیس، فعالیت، انحلال و نظارت بر کارگزاران رمزپول را تصویب و منتشر کرده بود. این دستورالعمل شامل ۵۸ ماده و ۲۸ تبصره است و چارچوب فعالیت کسب‌وکارهای ارائه‌دهنده خدمات خرید، فروش و مبادله رمزپول را مشخص می‌کند.
بنابراین تحول جدید را باید ادامه فرایند تنظیم‌گری بازار رمزارزها دانست، نه آغاز یک نظام نظارتی کاملاً جدید.
مجوز بانک مرکزی چه الزاماتی برای صرافی‌های رمزارزی ایجاد می‌کند؟
یکی از مهم‌ترین بخش‌های دستورالعمل بانک مرکزی، تعیین الزامات مشخص برای فعالیت کارگزاران رمزپول است.
بر اساس این مقررات، متقاضیان باید علاوه بر احراز شرایط حقوقی، مالی و مدیریتی، اطلاعات مربوط به زیرساخت فناوری اطلاعات و تدابیر امنیتی خود را نیز ارائه کنند.
در ماده ۲۲ دستورالعمل، ارائه مستندات فنی سامانه‌های فناوری اطلاعات و ارتباطات به همراه تدابیر امنیتی از جمله مدارک موردنیاز برای دریافت مجوز فعالیت عنوان شده است.
همچنین متقاضیان باید سازوکارهای کنترل داخلی، مدیریت ریسک، احراز هویت مشتریان و نظارت بر تراکنش‌ها را تشریح کنند.
این الزامات نشان می‌دهد ارزیابی یک پلتفرم صرفاً به سرمایه اولیه یا وضعیت ثبتی شرکت محدود نخواهد بود و زیرساخت عملیاتی و امنیتی آن نیز در فرایند نظارت اهمیت دارد.
اثبات ذخایر؛ یکی از مهم‌ترین الزامات برای حفاظت از دارایی کاربران
یکی از موضوعات مهم در دستورالعمل بانک مرکزی، الزام به رعایت ضوابط مربوط به گواهی اثبات اندوخته یا اثبات ذخایر (Proof of Reserves) است.
اثبات ذخایر به سازوکاری گفته می‌شود که از طریق آن، یک پلتفرم شواهدی درباره موجودی دارایی‌های تحت نگهداری خود ارائه می‌کند تا امکان بررسی میزان پشتوانه دارایی‌های اعلام‌شده فراهم شود.
بر اساس ماده ۲۶ دستورالعمل، کارگزاران رمزپول موظف‌اند الزامات مربوط به تأمین گواهی اثبات اندوخته را رعایت کنند.
اهمیت این الزام برای کاربران در شفافیت بیشتر وضعیت دارایی‌های نگهداری‌شده نزد پلتفرم‌هاست.
با این حال، یک نکته فنی را نباید نادیده گرفت: اثبات ذخایر به‌تنهایی معادل حسابرسی کامل مالی یا تضمین توانایی بازپرداخت تمام بدهی‌های یک شرکت نیست. برای ارزیابی دقیق‌تر وضعیت مالی یک پلتفرم، بررسی بدهی‌ها، تعهدات، ساختار نگهداری دارایی‌ها و گزارش‌های حسابرسی نیز اهمیت دارد.
بنابراین، وجود سازوکار اثبات ذخایر می‌تواند به شفافیت کمک کند، اما نباید آن را تضمین مطلق امنیت دارایی کاربران دانست.
مسئولیت صرافی‌ها در نگهداری اطلاعات و دارایی مشتریان
بخش دیگری از دستورالعمل بانک مرکزی به نحوه نگهداری دارایی‌ها و اطلاعات کاربران اختصاص دارد.
بر اساس ماده ۳۰، موجودی ریالی و رمزپول مشتری نزد کارگزار، ماهیت امانی دارد و کارگزار تنها با اجازه صریح مشتری و در چارچوب مقررات می‌تواند درباره انتقال، تبدیل یا فروش آن اقدام کند.
همچنین ماده ۳۴ بر لزوم تفکیک وجوه ریالی مشتریان از وجوه متعلق به خود کارگزار تأکید می‌کند.
در حوزه اطلاعات نیز کارگزاران موظف‌اند سوابق معاملات و تراکنش‌های مشتریان را نگهداری کنند. مطابق ماده ۳۹، ارائه این اطلاعات به اشخاصی غیر از بانک مرکزی و مشتری، صرفاً به حکم قانون یا با دستور مرجع قضایی مجاز است.
این مقررات از منظر حقوق کاربران اهمیت دارد؛ زیرا نحوه نگهداری دارایی و اطلاعات شخصی مشتریان را به بخشی از الزامات فعالیت کسب‌وکارهای رمزارزی تبدیل می‌کند.
همه پلتفرم‌ها مجاز به نگهداری دارایی کاربران نخواهند بود
دستورالعمل بانک مرکزی میان دو نوع کارگزار رمزپول تفاوت قائل شده است.
کارگزار نوع یک اجازه نگهداری یا ذخیره ریال و رمزپول متعلق به مشتری را ندارد و نمی‌تواند برای مشتری کیف پول اختصاصی ایجاد کند.
در مقابل، کارگزار نوع دو می‌تواند خدمات گسترده‌تری ارائه دهد، اما برای نگهداری رمزپول مشتری باید از خدمات نهاد امین استفاده کند یا مجوز مربوط به فعالیت به‌عنوان نهاد امین را دریافت کند.
این تفکیک از منظر امنیت دارایی کاربران اهمیت دارد؛ زیرا مسئولیت ارائه خدمات مبادله و مسئولیت نگهداری دارایی، در چارچوب مقررات یکسان در نظر گرفته نشده‌اند.
ممیزی امنیت اطلاعات و نظارت بر عملکرد پلتفرم‌ها
یکی دیگر از بخش‌های مهم دستورالعمل، توجه به حاکمیت شرکتی و نظارت مستمر بر عملکرد کارگزاران رمزپول است.
بر اساس ماده ۴۷، کارگزاران باید متناسب با تشخیص بانک مرکزی، الزامات حاکمیت شرکتی از جمله تشکیل کمیته‌های حسابرسی، ریسک و تطبیق مقررات را رعایت کنند.
همچنین ارائه گزارش حسابرسی فناوری اطلاعات و گزارش ریسک امنیت اطلاعات در این چارچوب پیش‌بینی شده است.
این موضوع اهمیت ویژه‌ای دارد؛ زیرا امنیت یک پلتفرم مالی صرفاً به استفاده از فناوری‌های رمزنگاری یا راه‌اندازی سامانه‌های حفاظتی محدود نمی‌شود. مدیریت دسترسی کارکنان، کنترل تغییرات سامانه، مدیریت رخدادهای امنیتی، نظارت بر پیمانکاران فناوری و بررسی مستمر آسیب‌پذیری‌ها نیز در امنیت عملیاتی چنین کسب‌وکارهایی نقش دارند.
دستورالعمل، چارچوب نظارتی این حوزه را مشخص کرده است؛ اما جزئیات کامل معیارهای فنی و شیوه ارزیابی امنیتی باید در الزامات تکمیلی بانک مرکزی بررسی شود.
آیا دریافت مجوز به معنای تضمین امنیت سرمایه کاربران است؟
پاسخ منفی است.
دریافت مجوز از یک نهاد ناظر می‌تواند به افزایش پاسخ‌گویی، شفافیت و امکان نظارت بر عملکرد یک کسب‌وکار کمک کند؛ اما به‌معنای حذف تمام ریسک‌های احتمالی نیست.
حتی در صورت دریافت مجوز، ریسک‌هایی مانند حملات سایبری، سرقت اطلاعات، اختلال زیرساختی، خطای انسانی، مشکلات نقدینگی و نوسانات ارزش دارایی‌های دیجیتال همچنان می‌توانند وجود داشته باشند.
از سوی دیگر، ماده ۳۱ دستورالعمل بانک مرکزی، کارگزاران را موظف می‌کند پیش از ارائه خدمات، ریسک‌هایی مانند نوسانات ارزش، نبود تضمین سوددهی، احتمال وجود رمزپول‌های فاقد پشتوانه معتبر و خطرات ناشی از تحریم‌ها و مسدودشدن دارایی‌ها را به اطلاع مشتری برسانند.
بنابراین نباید نشان مجوز یا ادعای تحت نظارت بودن یک پلتفرم را معادل تضمین بازگشت سرمایه یا مصونیت در برابر حملات سایبری تلقی کرد.
با ورود فرایند مجوزدهی به مرحله جدید، یکی از موضوعات مهم برای کاربران، تشخیص وضعیت واقعی مجوز و دامنه فعالیت قانونی هر پلتفرم خواهد بود.
برای جلوگیری از برداشت اشتباه، توجه به چند نکته ضروری است:
۱. میان ثبت شرکت و مجوز فعالیت تفاوت قائل شوید. ثبت حقوقی یک شرکت به‌تنهایی به معنای دریافت مجوز فعالیت از بانک مرکزی نیست.
۲. به ادعای تبلیغاتی مجوز اعتماد نکنید. تا زمانی که مرجع رسمی، وضعیت مجوز یک پلتفرم را تأیید نکرده باشد، نباید ادعای آن را قطعی تلقی کرد.
۳. مجوز را معادل تضمین امنیت ندانید. حتی پلتفرم‌های تحت نظارت نیز ممکن است با مشکلات فنی، امنیتی یا مالی مواجه شوند.
۴. به اطلاعیه‌های جعلی توجه داشته باشید. هم‌زمان با انتشار اخبار مربوط به مجوزدهی، ممکن است پیام‌ها یا صفحات جعلی با عنوان ثبت‌نام، تأیید حساب یا دریافت مجوز منتشر شوند. اطلاعات هویتی و بانکی را صرفاً در فرایندهای رسمی و قابل‌احراز وارد کنید.
۵. اطلاعیه‌های رسمی را دنبال کنید. وضعیت مجوزها، ضوابط تکمیلی و فهرست اشخاص مجاز باید از طریق اطلاعیه‌های رسمی بانک مرکزی بررسی شود.
این توصیه‌ها به معنای وجود گزارش تأییدشده از کلاهبرداری مرتبط با خبر اخیر نیست؛ بلکه اقدامات احتیاطی متناسب با فرایندهای احراز هویت و مجوزدهی دیجیتال محسوب می‌شوند.
مرحله بعدی چیست؟
آنچه در اطلاعیه ۱۸ آبان ۱۴۰۵ اعلام شده، ابلاغ قریب‌الوقوع کاربرگ‌های اخذ مجوز است.
برای ارزیابی مرحله بعدی این سیاست، انتشار اسناد اجرایی اهمیت دارد؛ زیرا این اسناد می‌توانند جزئیات مدارک موردنیاز، نحوه ثبت درخواست، مراحل ارزیابی و الزامات تکمیلی را روشن کنند.
در حال حاضر، زمان دقیق آغاز ثبت درخواست‌ها و اسامی پلتفرم‌هایی که موفق به دریافت مجوز خواهند شد، در اطلاعیه مورد استناد مشخص نشده است.
جمع‌بندی
حرکت بانک مرکزی به سمت اجرای فرایند مجوزدهی، از نظر شفافیت و پاسخ‌گویی کسب‌وکارهای رمزارزی اهمیت دارد. الزاماتی مانند مستندسازی زیرساخت امنیتی، گزارش ریسک امنیت اطلاعات، حفاظت از دارایی مشتریان و اثبات ذخایر می‌توانند معیارهای نظارتی مشخص‌تری برای فعالیت این شرکت‌ها ایجاد کنند.
با این حال، معیار نهایی موفقیت این چارچوب صرفاً تعداد مجوزهای صادرشده نخواهد بود؛ بلکه نحوه اجرای مقررات، کیفیت نظارت، رسیدگی به تخلفات و میزان شفافیت واقعی درباره وضعیت دارایی کاربران اهمیت تعیین‌کننده‌ای خواهد داشت.
