加密货币交易所的AML合规是什么？VASP的五项义务

一位美国交易所的合规官打开了审查员的信函。发现的问题每个周期都在重复。监控仅在入职时运行。可疑交易报告提交延迟。牌照续期因注册漏洞而停滞。对于加密货币交易所而言，AML 合规不是一项单一任务。它是虚拟资产服务提供商（Virtual Asset Service Provider，简称 VASP）必须持续运行的五项义务组成的体系。任何一层出现疏漏，都会给牌照、银行合作伙伴，或两者同时带来压力。

AML 合规对加密货币交易所意味着什么

对于加密货币交易所而言，AML 合规是 VASP 为合法运营必须满足的一整套反洗钱和反恐怖主义融资义务。这些义务由 FATF 针对虚拟资产的建议规定，在美国则由 FinCEN 的货币服务企业规则规定。交易所须承担全部五个层面的义务，而不仅仅是入职时的客户审查。

VASP 是监管层面的标签，适用于任何为客户进行虚拟资产兑换、转移或托管的实体。交易所一旦上线某个代币交易对，就自动被贴上这一标签。它的 AML 职责并非银行合规项目的复制品。它建立在以秒为单位跨链移动、且往往经过混币器的链上地址和交易之上。

这种速度改变了工作的形态。银行是将一笔支付与名单和交易对手数据库进行比对筛查。而交易所要筛查的存款，可能三跳之前就经过了混币器，其风险暴露只有在追踪资金路径后才会显现。客户档案不会携带这一信号。链上数据才会。这正是为什么五项义务中的交易监控，在银行端没有同等速度的对应物，必须直接读取链上数据。

本文旨在界定这一框架，聚焦于"是什么"。至于具体操作方式、筛查工作流以及报告导出，则收录在另一篇实操指南中。关于界定 VASP 标签及其义务的全球标准，请参阅 FATF 关于虚拟资产的指南。

拆解五项核心 VASP 义务

该框架包含五项义务。每一项都对应一条 FATF 建议，对美国交易所而言，还对应一条 FinCEN 规则。一个只覆盖部分义务的合规项目是无法通过审查的。前两项和最后一项属于传统合规基础设施。中间两项则是链上数据发挥关键作用的地方。

1. 注册与牌照。 在为客户提供服务之前，交易所必须向其主管机关注册。在美国，这意味着须向 FinCEN 注册为货币服务企业，并持有各州的货币汇兑牌照。欧盟的 MiCA 制度以及纽约的 BitLicense 都增加了各自的授权步骤。未经注册运营本身就是一项违规行为，与之后可能发生的 AML 失误相互独立。《GENIUS 法案》（公法 119-27）于 2025 年 7 月签署成为法律，并在 FinCEN 完成规则制定后于 2027 年 1 月生效，该法案将支付型稳定币发行方纳入《银行保密法》的监管范围，因此处理稳定币流转的交易所现在与发行方本身处于同一 AML 监管边界之内。

2. 客户尽职调查。 交易所必须识别其客户、评估其风险，并对高风险关系实施强化尽职调查。身份验证属于这一支柱内的环节。它确认客户所声称的身份是否属实。但它无法看到交易本身。一名客户可以通过入职审查，但仍然可能发送一笔资金源自混币器的存款，因为身份与资金流动是两个不同的对象。

3. 交易监控。 交易所必须持续监控活动，识别可疑模式。在加密货币领域，这意味着不仅要筛查客户档案，还要筛查其交互的地址以及触及其钱包的交易。风险在入职之后仍会发生变化，因此监控必须是持续且实时的。一个周一还处于清白状态的地址，到周四可能就被关联到非法活动，而周五的一笔存款所携带的资金，三跳之前是干净的，但源头已被污染。

4. 可疑交易报告。 当监控发现看似洗钱或恐怖主义融资的活动时，交易所必须提交报告。在美国，该报告称为可疑活动报告（suspicious activity report）。其他司法管辖区则称之为可疑交易报告（suspicious transaction report）。在美国，SAR 的提交窗口期为 自最初发现之日起 30 个自然日（若嫌疑人身份不明，最长可延至 60 天）。其他司法管辖区的要求更为严格——香港要求在 24 小时内提交。报告必须包含足以让审查员信服的证据。

5. 记录保存。 交易所必须保留能够证明其执行了前四项义务的记录。根据美国《银行保密法》，这意味着须将 CDD 档案、监控日志和已提交的报告保留五年。审查员将缺失的记录视为控制措施的缺失。保留期限超出客户关系存续的时长，因此即便钱包已不复存在，日志也必须在很长一段时间内仍可供审计。

这五项义务是从 VASP 的视角出发的，描述了交易所必须做什么。它们不同于 AML 项目的内部支柱——后者涵盖政策、指定合规官、培训、独立审计以及 CDD 项目本身。项目视角是另一个话题，留待另一篇文章讨论。本文的焦点始终在交易所必须履行的义务上。

落实交易监控这一支柱

在五项义务中，交易监控和可疑交易报告这两项依赖于链上数据，而银行的工具无法读取这些数据。Phalcon Compliance 通过 KYA 和 KYT 覆盖这两个支柱。它不提供 CDD 身份验证、注册或牌照方面的建议，也不提供记录保存基础设施。其范围是监控与筛查这一层面。

KYA，即 Know Your Address（了解你的地址），利用标注地址数据库及其周边的交互图谱，对钱包地址进行 AML 和 CFT 风险筛查。KYT，即 Know Your Transaction（了解你的交易），筛查一笔交易中每一次代币转移，沿存款或提款方向追踪资金路径，并给出风险等级。二者共同回答两个不同的问题。KYA 回答的是"这个地址是什么"。KYT 回答的是"这笔交易做了什么"。

支撑这两种筛查的风险引擎使用了 17 项风险指标，涵盖从"受制裁与恐怖主义融资"到"混币"、"勒索软件"以及"FATF 灰名单司法管辖区"等。每一个被筛查的地址或转账都会被归入五个风险等级之一，从"严重"依次向下经过"高"、"中"、"低"，直至"无风险"。这些等级是可配置的，因此团队可以将每一级别映射到自身的内部政策和风险偏好。基于 FATF 指南的默认引擎开箱即用，也可以进行编辑，以适配交易所自身基于风险的方法。

当筛查标记出某笔转账时，警报会通过团队所选择的渠道发出。分析人员确认风险暴露后，即可为该笔转账导出可疑交易报告，存款或提款方向在筛查时即已指定。该报告与主要监管司法管辖区的要求保持一致，并可通过特定地区的模板导出，以便直接提交。导出的 STR 就是报告支柱所需的证据。筛查日志则为记录保存支柱提供数据。一个工具，闭合了两项义务。

BlockSec 未覆盖的三个支柱，属于传统合规基础设施的范畴。交易所须从法律顾问处获取注册服务，从 CDD 供应商处获取身份验证服务，并通过记录系统实现记录保存。而监控和报告这两个支柱，正是链上原生工具能够发挥价值的地方，因为这两个支柱所需处理的数据本就存在于链上。关于 KYT 如何贯穿交易所交易生命周期运行的操作说明，请参阅 KYT Compliance 指南。

从框架到行动

定义只是起点，而非终点。一旦合规团队能够明确说出这五项 VASP 义务，下一步就是将其付诸实践。有两条路径可供参考。要阅读完整的 AML 合规框架，以及支撑监控支柱的平台，请访问 Phalcon Compliance。要从定义走向交易所层面的实际部署，请参阅"加密货币交易所 KYT 合规实施指南"。

北美交易所应首先权衡 FinCEN MSB 注册及州级货币汇兑牌照这一层面，因为未经注册运营本身就是一项独立的违规行为。其次才是监控与报告支柱，而这两者正是随链上交易量增长而扩展的部分。

常见问题

什么是加密货币交易所的 AML 合规？ 它是交易所必须持续履行的五项 VASP 义务的总称：注册与牌照、客户尽职调查、交易监控、可疑交易报告，以及记录保存。

五项 VASP 义务与 AML 项目的五大支柱是同一回事吗？ 不是。VASP 义务是交易所必须做的事，而 AML 项目支柱是其合规部门如何搭建起来的方式。本文讨论的是义务。

KYC 算是一项单独的义务吗？ 不算。身份验证是客户尽职调查支柱内部的一个环节。它确认的是客户是谁，而不筛查交易本身。

链上监控覆盖哪些义务？ 交易监控和可疑交易报告。地址和交易筛查读取的是链上数据，而导出的 STR 就是报告本身。

美国的交易所必须保留 AML 记录多久？ 根据《银行保密法》，须保留五年。保留范围涵盖 CDD 档案、监控日志以及已提交的报告。