涉案虚拟财产保管的责任重构：公共治理与专业金融保障的双重要求

01一、冷钱包带来的设备安全感，不等于财产安全保障

首先需要明确一个基本技术事实：虚拟财产并不是存放在冷钱包设备内部。

虚拟财产记录存在于相应的区块链网络之中。冷钱包主要用于生成、保存和使用控制这些资产所需要的密码学密钥。

设备处于离线状态，可以降低部分网络攻击风险，却无法消除设备制造、硬件供应链、固件设计、随机数生成以及密钥管理等环节的安全风险。

因此，即使设备没有丢失、没有联网，保管人员也严格遵守了内部管理制度，资产仍然可能因外部技术缺陷而遭到非法转移。

Ledger和Coldcard事件已经说明，控制设备的人员未必能够观察或判断设备背后全部技术体系的安全状态。

这便引出了一个需要特别警惕的认识误区：

看得见设备，不等于看得见风险；控制了设备，不等于控制了所有可能导致财产损失的技术条件。

对于涉案虚拟财产，技术安全固然重要，但公共财产管理还必须进一步回答：如果资产最终发生损失，谁具有法律上的保管责任？谁有实际能力承担损失？通过什么机制实现赔偿？

02二、境内第三方在境外开设冷钱包，不等于取得专业托管资格

当前尤其需要澄清的，是第三方参与涉案虚拟财产保管时容易出现的一种认识误区。

例如，某境内企业受托参与涉案虚拟财产管理，在境外购买冷钱包设备，或者开设境外钱包地址，再由办案机关将涉案虚拟财产转入该企业实际控制的钱包。

随后，双方通过合同约定保管义务，第三方缴纳一定保证金，并承诺发生损失后予以赔偿。

如果仅凭这些安排，就认定该企业已经具备专业虚拟财产托管资格，并建立了可靠的财产保障机制，显然缺乏依据。

第一，境外有钱包，不等于境外有金融托管资格。

任何具备必要技术条件的人，都可能创建链上钱包地址。购买硬件钱包或建立钱包地址，本质上是一种技术行为，而非金融监管机构授予的专业资格。

境内企业的性质、注册资本、经营范围，以及在境外是否设有公司，都不会自动赋予其受监管的虚拟财产托管资格。

即使资产实际存放于境外，也必须明确：真正承担托管职责的法律主体是谁？其是否获得相应司法管辖区的许可？该许可是否覆盖实际提供的托管服务？

不能把资产转移至境外钱包，就理解为已经进入境外金融监管体系。

第二，第三方拥有钱包，不等于客户资产受到专业保护。

如果第三方独立控制钱包私钥，就必须审视其内部权限、操作记录、资产隔离、异常交易防控及实际责任承担机制。

如果第三方又将资产存入其他机构，则必须进一步核实最终托管主体、账户权利归属、委托关系及资产隔离情况。

尤其应当警惕将大量涉案虚拟财产混入第三方自行控制的钱包之中，却没有形成独立、可核验的资产权益记录。

这种模式下，一旦企业发生经营危机、内部违规操作、私钥泄露或其他事故，财产所有权与保管责任可能面临复杂争议。

第三，交纳保证金、承诺赔偿，不等于真正具备赔偿能力。

假设第三方实际控制价值数亿元的涉案虚拟财产，却仅提供数百万元保证金。

那么，即使合同写明发生损失应予赔偿，也无法据此证明企业具有覆盖重大损失的财务能力。

合同上的赔偿义务是一回事，实际拥有多少可供执行的责任财产，是另一回事。

如果第三方既没有受监管的专业托管体系，又缺乏与资产规模相匹配的风险保障，仅仅依靠设备管理、民事合同和有限保证金，便将重大涉案虚拟财产交由其控制，值得高度警惕。

这里还有更严肃的合规问题。

我国现行监管政策严格限制境内虚拟货币相关金融业务。普通企业不能因获得民事委托，就当然取得原本需要法律授权或监管许可的业务资格。

如果相关企业明知自己不具备相应资质，却向委托机关宣称已经取得专业托管资格，或者虚构偿付能力、隐瞒实际控制关系，就可能涉及虚假陈述、资格误导及相应法律责任。是否构成民事欺诈或刑事诈骗，则应依据具体事实与证据依法判断。

真正需要防止的，是以境外钱包包装专业托管，以保证金包装金融保障，以普通商业合同包装本应经过专业监管的资产保管责任。

03三、欧盟MiCA制度提供的启示：真正的托管，是一项有监管、有账户、有责任的专业金融服务

在国际监管实践中，虚拟财产保管已经逐步形成独立的专业监管规则。

欧盟《加密资产市场条例》（Markets in Crypto-Assets Regulation，简称MiCA），为理解这一制度提供了具有代表性的参照。

它所规范的，并不是某家机构购买何种冷钱包，而是由什么主体提供托管服务、如何记录客户权益、怎样隔离资产、应当具备什么财务保障，以及资产发生损失后由谁承担责任。

1. 托管资格：不是任何企业都可以自行认定

MiCA第59条明确规定，在欧盟范围内提供加密资产服务，应当由依法取得授权的加密资产服务提供者，或者依据该条例符合相应条件的金融机构承担。

该条还要求相关授权明确列示机构获准提供的具体服务。

这意味着，专业托管资格需要建立在监管制度之上，不能由企业自己宣布，更不能以是否拥有钱包设备作为认定标准。

2. 客户账户：资产保管必须有清晰的权利记录

MiCA第75条第2款要求，托管服务机构应当以每名客户的名义建立与其资产权益相对应的账户持仓登记，并及时记录相关资产变动。

第5款还要求定期及应客户请求提供资产持仓记录。

这一制度的价值非常明确：保管关系不仅是某个钱包地址中有多少虚拟资产，还必须能够识别这些资产对应于谁、数量是多少、发生了什么变动。

这与传统金融体系中的客户账户管理具有相通的制度逻辑。

3. 资产隔离：客户财产不能变成托管机构自己的财产

MiCA第70条要求保护客户资产权益，防止服务机构将客户资产用于自身业务。

第75条第7款进一步要求，将客户加密资产与托管机构自身资产进行隔离，包括法律上的隔离、业务操作上的隔离及相关链上资产的区分。

尤其重要的是，这种隔离还应当保护客户在托管机构破产时的资产权益，防止机构债权人向依法隔离的客户托管资产追偿。

因此，真正的专业托管绝不是把客户虚拟财产汇集到企业控制的钱包之中，再由企业自行决定如何管理。

客户资产是谁的，必须在法律关系和账户记录中清清楚楚。

4. 金融保障：专业机构必须具备持续的审慎保障

MiCA第67条规定，加密资产服务提供者应当持续维持符合规定的审慎保障，可以通过符合条件的自有资金、保险或类似担保安排实现。

这说明，监管关注的不只是机构有没有技术，还包括其是否具备承担经营风险及相关责任的财务基础。

当然，监管最低资本要求并不等于对全部托管资产提供等额赔偿。对于价值巨大的涉案虚拟财产，还需要进一步评估机构的实际偿付能力及补充保障机制。

5. 损失责任：专业保管不是一句“丢了我赔”

最值得重视的是MiCA第75条第8款。

该款明确规定：因可归责于加密资产托管服务提供者的事件，造成客户加密资产或访问手段丢失的，托管机构应承担责任；其责任上限为损失发生时相关加密资产的市场价值。

这是具有明确法律依据的托管责任，而不是普通企业单方面作出的商业承诺。

需要说明的是，该条并非规定任何损失均可无条件获得全额赔付，实际责任仍涉及事件归责、适用法律及偿付能力等问题。

但其制度意义十分清楚：

资产安全不再仅仅依赖一台设备或者一个人的技术能力，而是进入由监管资格、客户账户、资产隔离、审慎保障和法定赔偿责任共同组成的专业服务体系。

这应是虚拟财产专业托管应当研究和借鉴的制度标准。

04四、公共治理责任与专业金融责任，应当形成明确的制度分工

我国执法司法等机关承担着涉案财物的依法控制、证据保全、权利保护和处置监督职责。

这些公共职责不能简单转交商业机构，更不能因签订第三方保管合同而消失。

但这并不意味着，办案机关必须依靠自身力量承担全球区块链技术、密钥安全、跨境网络攻击以及专业金融托管的全部风险。

国家机关依法履行公共治理责任，与专业机构依法承担金融保管责任，是可以区分、也有必要研究如何衔接的两种职责。

欧盟MiCA展示了一条值得研究的制度路径：在技术安全之外，通过专业准入、账户管理、资产隔离、审慎要求及法定责任，建立相对完整的虚拟财产托管制度。

我国由于现行虚拟货币监管政策及相关跨境金融规则的限制，尚不能将境外托管模式直接用于境内涉案财产管理。

但公共管理中的实际保管需求并不会因此消失。这正是开展涉案虚拟财产离岸治理制度研究的必要性所在。

对于具有全球流通属性的虚拟财产，可以在坚持国家依法控制、明确专门法律授权和满足跨境监管要求的前提下，研究如何引入境外依法持牌、具有实质专业能力和可执行责任保障的金融托管服务。

其意义不是让境外机构取代中国公共机关，而是使公共治理职责与专业金融职责各归其位。

05结语：不要用一台冷钱包，代替一套财产保障制度

涉案虚拟财产保管，首先要纠正一个基本认识：

冷钱包是一种技术工具，不是一项金融托管资格；设备由谁持有，不等于财产损失就由谁有能力承担。

境内企业在境外购买冷钱包，不等于成为境外持牌专业托管机构。

第三方签署赔偿合同，不等于已经建立与涉案资产规模相匹配的财务保障。

将资产转交第三方，不等于公共机关已经完成全部风险管理责任。

Ledger与Coldcard事件所揭示的，正是设备安全的有限性。

而欧盟MiCA所提供的制度启示，则是将虚拟财产保管纳入可识别、可监管、可核验、可追责的专业服务体系。

对于我国涉案虚拟财产治理而言，真正需要推进的，不只是更换更安全的钱包设备，而是研究建立能够同时满足公共治理要求与专业金融责任要求的制度框架。

涉案虚拟财产的安全保管，不能止于“有人保管”，而应进一步落实到“谁有资格保管、谁受到监管、谁承担责任，以及发生损失之后谁真正有能力赔偿”。