Меры кибербезопасности при хранении криптоактивов для консультантов

Меры кибербезопасности при хранении криптоактивов для инвестиционных консультантов включают технические и операционные средства защиты цифровых активов клиентов, приватных ключей и полномочий на проведение транзакций. Для зарегистрированных инвестиционных консультантов, фондов и подразделений комплаенса надежное хранение активов не сводится к выбору хранителя. Оно также требует эффективного управления ключами, контроля доступа, мониторинга транзакций, разделения активов, тестирования и обеспечения непрерывности деятельности. Все это напрямую влияет на защиту инвесторов.

Ключевые выводы

Владение цифровыми активами и возможность проводить транзакции во многом зависят от криптографических приватных ключей. Поэтому их компрометация представляет особый риск при хранении криптоактивов.

Как правило, правило SEC о хранении активов требует от зарегистрированных инвестиционных консультантов, которые хранят определенные средства или ценные бумаги клиентов, пользоваться услугами квалифицированных хранителей. Предусмотрены исключения. Меры кибербезопасности помогают выполнять эти требования, но не заменяют их.

Институциональные меры защиты обычно включают холодное хранение, аппаратные модули безопасности, многосторонние вычисления (MPC), авторизацию с Мульти-подписью, устойчивую к фишингу многофакторную аутентификацию (MFA) и мониторинг транзакций в реальном времени.

Консультантам следует проверять сторонние сервисы хранения, уделяя внимание архитектуре безопасности, разделению активов, реагированию на инциденты, аудитам и операционной устойчивости.

NIST CSF 2.0 — полезная модель управления рисками кибербезопасности. Однако правило SEC о хранении активов не обязывает повсеместно применять конкретные технологии, например MPC, холодное хранение или NIST SP 800-53.

Почему хранение криптоактивов требует специальных мер кибербезопасности

С операционной точки зрения хранение цифровых активов отличается от хранения традиционных ценных бумаг. Контроль над активами в блокчейне может напрямую зависеть от криптографических учетных данных. Если приватный ключ скомпрометирован, злоумышленник может перевести активы, не завладевая физическим сертификатом и не получая доступа к традиционному банковскому счету.

Подтвержденные транзакции в блокчейне, как правило, сложно отменить. Утрата приватных ключей может навсегда лишить доступа к активам клиентов, а похищенные ключи позволяют проводить несанкционированные транзакции с цифровыми активами.

Поэтому хранение криптоактивов и защита приватных ключей имеют ключевое значение для управления цифровыми активами. Консультантам и фондам нужны протоколы безопасности, которые снижают риски кражи, компрометации учетных данных, операционных ошибок и внутренних угроз.

Управление приватными ключами и авторизация транзакций

Комплексное управление жизненным циклом ключей — одна из важнейших мер защиты при хранении криптоактивов. Оно охватывает безопасное создание, хранение, использование, резервное копирование, ротацию, восстановление и уничтожение ключей.

Некоторые технологии позволяют распределить контроль между несколькими людьми или устройствами:

Мера защиты Цель в сфере кибербезопасности

Аппаратные модули безопасности Защищают криптографические ключи и операции подписания в защищенной среде

Многосторонние вычисления (MPC) Распределяют полномочия на подписание, поэтому полный приватный ключ не требуется хранить в одном месте

Кошельки с Мульти-подписью Требуют нескольких независимых подтверждений для выполнения транзакции

Процедуры многосторонней авторизации Отделяют создание транзакции от ее окончательного утверждения

Холодное хранение Изолирует выбранные данные приватных ключей или системы хранения от постоянного подключения к интернету

Ротация ключей Ограничивает долгосрочную зависимость от одних и тех же криптографических учетных данных

Холодное хранение снижает риск онлайн-атак, особенно для активов клиентов, которые не нужно часто перемещать. Однако само по себе оно не гарантирует безопасность. Слабые процедуры резервного копирования, недостаточная физическая защита или ненадлежащие процедуры восстановления по-прежнему создают риски для активов.

Аналогично, MPC и системы с Мульти-подписью — это архитектуры безопасности, а не автоматическое подтверждение соблюдения требований SEC.

Контроль доступа, MFA и безопасность с нулевым доверием

Инфраструктура хранения должна исключать риск, при котором административные учетные данные становятся единой точкой отказа. Устойчивая к фишингу многофакторная аутентификация усиливает защиту доступа к системам хранения. Разграничение прав доступа по ролям позволяет ограничить круг сотрудников, которые могут создавать, утверждать или проводить транзакции.

Доступ к сети с нулевым доверием дополнительно снижает риски: пользователи, устройства и сеансы проходят аутентификацию и авторизацию. Система не доверяет им автоматически только потому, что подключение выполнено из внутренней сети.

Эти меры должны распространяться не только на кошельки. Точками для атаки могут стать административные консоли, облачная инфраструктура, системы управления ключами, настройки вывода средств и инструменты поддержки комплаенса.

Разрешения кошелька создают дополнительный риск: даже легитимные приватные ключи могут авторизовать вредоносные транзакции. Поэтому меры контроля авторизации кошелька и рисков, связанных с подписями, дополняют защиту от прямой кражи ключей.

Мониторинг транзакций и разделение активов клиентов

Мониторинг транзакций в реальном времени помогает консультантам и хранителям выявлять подозрительные перемещения средств до того, как под угрозой окажутся дополнительные активы. Автоматизированное обнаружение аномалий позволяет отмечать необычные адреса для вывода, нетипичные суммы транзакций, новые административные устройства и переводы, не соответствующие обычным рабочим шаблонам.

К мерам защиты институционального уровня также относятся списки разрешенных адресов, лимиты на вывод средств, временные задержки и независимое утверждение крупных переводов.

Не менее важно разделять активы. Раздельное хранение активов клиентов, операционных кошельков и собственных активов помогает ограничить последствия взлома и упрощает сверку клиентских активов.

Разделение активов также поддерживает общий принцип защиты инвесторов, отраженный в действующем правиле SEC о хранении активов. Как правило, оно требует хранить средства и ценные бумаги клиентов, подпадающие под его действие, у квалифицированных хранителей в соответствии с установленными условиями. Правило действует с 1962 года и менялось по мере развития практик хранения активов.

Проверка стороннего хранителя

Использование сторонних сервисов хранения не устраняет операционные риски. Прежде чем доверить поставщику активы клиентов, консультантам следует выяснить, как он защищает цифровые активы.

В ходе проверки можно оценить:

правовой и регуляторный статус;

архитектуру приватных ключей и системы управления ими;

меры контроля горячих и холодных кошельков;

архитектуру MPC или Мульти-подписи;

контроль доступа сотрудников;

разделение активов клиентов;

процедуры утверждения транзакций;

регулярные аудиты безопасности и тестирование на проникновение;

процедуры реагирования на инциденты;

страховое покрытие;

планы аварийного восстановления и обеспечения непрерывности деятельности;

ведение учета и выписки по счетам.

Фидуциарные обязанности консультанта, предусмотренные Законом об инвестиционных консультантах, сохраняют значение и в его отношениях с клиентами. Передача функций хранения на аутсорсинг не отменяет необходимости разумно контролировать существенные риски, связанные с поставщиками услуг.

Структура кибербезопасности NIST и операционная устойчивость

Структура кибербезопасности NIST 2.0 — это не привязанная к конкретным технологиям модель оценки рисков кибербезопасности. Она включает шесть функций: управление, выявление, защита, обнаружение, реагирование и восстановление.

При хранении цифровых активов эта модель помогает выстроить управление практиками хранения, выявить критически важную инфраструктуру ключей, защитить приватные ключи, обнаруживать подозрительную активность, реагировать на инциденты и планировать восстановление.

При необходимости организации могут использовать NIST SP 800-53 как справочник по мерам безопасности. Однако правило SEC о хранении активов не обязывает всех квалифицированных хранителей соблюдать именно NIST SP 800-53.

Регулярные тесты на проникновение, аудиты безопасности, проверки прав доступа и учения по восстановлению помогают убедиться, что операционные меры защиты продолжают работать должным образом.

Требования SEC и меры кибербезопасности

Действующие нормативные требования SEC следует отличать от передовых технологических практик. Правило 206(4)-2, как правило, обязывает консультантов по инвестициям, зарегистрированных в SEC (RIA), хранить средства и ценные бумаги клиентов у квалифицированных хранителей. После надлежащей проверки консультанты должны иметь разумные основания полагать, что клиенты получают выписки по счетам непосредственно от хранителя не реже одного раза в квартал.

1 октября 2026 года SEC предложила новые правила хранения криптоактивов для зарегистрированных консультантов по инвестициям и регулируемых фондов. Предложение учитывает вопросы кибербезопасности, но остается проектом правила, а не окончательным требованием. Поэтому разработку SEC правил хранения криптоактивов пока нельзя считать действующим законодательством.

Как Gate может помочь

При разработке операционной модели организации, оценивающие варианты хранения цифровых активов, могут отделить безопасность хранения от исполнения рыночных операций. Gate Institutional предоставляет институциональную инфраструктуру для цифровых активов и доступ к рынкам. Консультанты по-прежнему отвечают за оценку того, соответствуют ли выбранные ими схемы хранения, поставщики услуг и операционные меры контроля применимым фидуциарным и нормативным требованиям.

Заключение

Правила кибербезопасности при хранении криптоактивов для консультантов предусматривают многоуровневую защиту, а не использование одной технологии кошельков. Надежная система хранения сочетает безопасное управление ключами, контролируемую авторизацию транзакций, разделение активов, мониторинг, тестирование, реагирование на инциденты и проверку сторонних поставщиков. Требования SEC к хранению устанавливают нормативную основу для активов, подпадающих под их действие. Такие модели, как NIST CSF, помогают консультантам выстраивать более широкую систему мер кибербезопасности и операционной устойчивости.

Часто задаваемые вопросы

Обязывает ли SEC инвестиционных консультантов использовать MPC для хранения криптоактивов?

Нет. MPC повышает безопасность управления приватными ключами за счет распределения полномочий на подписание. Однако действующее правило SEC о хранении активов не устанавливает MPC как обязательное требование для всех случаев хранения.

Обязывает ли SEC хранить криптоактивы клиентов в холодном хранилище?

Нет. Общие положения правила о хранении активов не требуют хранить все криптоактивы в холодном хранилище. Оно может снизить риск онлайн-атак, однако консультантам следует оценивать эту меру в контексте общей модели хранения и применимых нормативных требований.

Зачем консультантам проверять хранителей криптоактивов?

Проверка хранителя помогает оценить управление ключами, разделение активов, протоколы безопасности, внутренние меры контроля, возможности восстановления и другие риски для активов клиентов. Выбор поставщика услуг также затрагивает более широкие фидуциарные обязанности консультанта.

Обязаны ли квалифицированные хранители соблюдать NIST SP 800-53?

Правило SEC о хранении активов не устанавливает такое требование для всех случаев. NIST SP 800-53 содержит подробный перечень мер безопасности и защиты конфиденциальности, который может служить ориентиром для институциональных программ кибербезопасности. Однако его нельзя представлять как универсальное требование SEC для каждого квалифицированного хранителя.

Какие меры кибербезопасности при хранении криптоактивов наиболее важны?

К основным мерам обычно относятся безопасное управление жизненным циклом ключей, MFA, авторизация с использованием MPC или Мульти-подписи, архитектура холодного хранения, разделение кошельков, мониторинг транзакций в реальном времени, тестирование на проникновение, реагирование на инциденты и планирование непрерывности деятельности.