比特幣AML/KYC合規實戰手冊：FATF Travel Rule、KYC/AML技術方案與跨國稅務申報深度解析

做交易所合規工作的朋友大概都懂那種無力感——比特幣天生就是設計來繞過這些管制措施的，結果我們現在要在這套去中心化系統上面強行套上一套中心化的合規框架。這篇文章我不是來推銷合規的「必要性」的，這方面銀行、保險公司、合規部門的人比我熟多了。我想聊的是「實務上到底怎麼做」，特別是那些在第一線執行AML/CFT政策的人最頭疼的問題：Travel Rule怎麼落地、KYC的技術方案哪個靠譜、各國的稅務申報到底有什麼不一樣。

壹、FATF Travel Rule的比特幣實作：技術細節比你想的複雜多了

FATF的Travel Rule（也被稱為「旅行規則」）要求虛擬資產服務提供商（VASP）在轉帳超過一定金額門檻時，必須將發送方和接收方的身份資訊伴隨交易一併傳遞。這個規則在傳統金融領域已經實行了幾十年（銀行之間的SWIFT轉帳就適用Travel Rule），但把這個規則應用到比特幣這種去中心化、點對點的系統上，就變成了一個極度燒腦的技術挑戰。

為什麼？傳統銀行轉帳的Travel Rule是這樣運作的：匯款行和收款行之間有一個封閉的通信網路（SWIFT），雙方都是已知的金融機構，身份資訊在封閉網路中傳遞，風險可控。但比特幣轉帳是這樣的：我的私鑰直接簽名一筆交易廣播到整個比特幣網路，礦工驗證簽名有效性後把交易打包進區塊。全程不需要任何中心化的中介機構。請問在這個架構下，「發送方的身份資訊」要放在哪裡？

這個問題困擾了整個產業好幾年，到目前為止也沒有完美的答案，但有幾個方向可以探討。

1.1 業界的主流技術方案

方案一：OTC+BIS（Out-of-Band）架構

最傳統的做法是把「交易」和「身份資訊」分開處理。比特幣的鏈上交易走正常的比特幣網路，身份資訊則通過另一個通信管道（通常是加密的HTTPS API）傳遞給對方的VASP。這就像你網購的時候，物流單號走物流系統，但你的地址和電話通過另一個系統給商家。

全球最大的一些比特幣交易所（Coinbase、Binance、Kraken等）目前採用的大多是這種方案。優點是實現相對簡單，不需要動比特幣的核心協議；缺點是明顯的——「交易」和「身份資訊」是兩條完全獨立的通道，理論上有可能出現交易發出去了但身份資訊沒傳、或者身份資訊傳了但交易沒發的情況。更重要的是，兩條通道之間沒有密碼學上的連結，外匯監管機構對這種「弱連結」的合規強度是有疑慮的。

方案二：區塊鏈內嵌方案（Travel Rule Protocol）

一些技術標準組織試圖把身份資訊直接寫進區塊鏈交易裡。這裡最有影響力的標準是區塊鏈互操作性聯盟（InterVASP）的「IVMS101」訊息格式和TRISA（Travel Rule Information Sharing Protocol）開源項目。

IVMS101定義了一個標準化的身份訊息格式——就像銀行匯款時統一用SWIFT code來標識銀行一樣，IVMS101試圖為虛擬資產服務商建立一個統一的身份識別標準。TRISA則是這個標準的具體技術實現，目標是讓不同的VASP之間可以安全、隱私地交換Travel Rule所需的身份資訊。

TRISA在2021-2023年間經歷了幾次重大的安全漏洞修復。2022年3月，Trail of Bits的安全研究人員發現TRISA的初始版本在實現細節上存在一個嚴重的隱私漏洞——雖然傳輸的資料是加密的，但攻擊者可以通過分析網路流量的大小和頻率來推斷交易的參與方。這促使TRISA團隊在2022年底發布了重大更新，引入了混洗延遲機制（mixing delay），讓身份資訊的傳輸時間也隨機化，以抵禦流量分析攻擊。

方案三：比特幣原生方案（PSBT + 外部訊息）

比特幣核心錢包支援一種叫做PSBT（Partially Signed Bitcoin Transaction）的格式，允許交易的簽章過程分多個步驟完成。一些研究者提出，可以在PSBT的元數據欄位中嵌入加密的身份資訊，這樣身份資訊和比特幣交易就透過PSBT格式形成了密碼學上的綁定。

問題在於，PSBT欄位的空間非常有限（比特幣交易本身很精簡，沒有太多「多餘」的空間），而且這種做法會讓交易的體積變大，增加區塊空間成本。目前這個方案更多停留在學術討論階段，真正生產環境中使用的案例極少。

1.2 各地的落地進展

一個有趣的觀察：各地的Travel Rule合規進度差異極大。東亞地區（日本、韓國、新加坡）因為有明確的監管機構和相對完整的牌照制度，落地進度最快。歐盟的MiCA框架雖然雄心勃勃，但實際的技術標準制定嚴重落後於法規生效時間，業界普遍反映「合規要求很清晰，但技術怎麼做還不知道」。美國則因為聯邦體制的問題，Travel Rule的執行高度碎片化，每個州有自己的規則，跨州運營的交易所苦不堪言。

貳、KYC/AML的技術實作：從身份驗證到鏈上行為分析

KYC（Know Your Customer）這三個字母在加密貨幣產業是個既愛又恨的存在。對監管機構來說，KYC是防止洗錢和恐怖主義籌資的第一道防線；對用戶來說，KYC意味著要交出護照、水電費帳單、還要通過視訊驗證，繁瑣得要命；對交易所來說，KYC系統的建設和維護成本是運營支出的大頭。我這裡想從技術的角度，聊聊不同KYC方案之間的差異和取捨。

2.1 身份驗證的技術層次

KYC不是一個單一的技術，而是一個分層的驗證體系。從最基礎的「實名認證」到最嚴格的「強化盡職調查（Enhanced Due Diligence, EDD）」，不同風險等級的用戶需要不同層次的驗證。

Level 1 - 基本實名驗證（Basic KYC）

最基本的KYC就是「名字+身份證號」的匹配，有些系統再加上手機號碼的SMS驗證。這種level的KYC在比特幣領域通常對應的是「小额交易豁免門檻」——各國規定不同，一般是每日或每月不超過一定金額（比如日本的30萬日元、約2,000美元）可以不用完整KYC。

技術實現上，這一層通常用到以下工具：

• 身份證OCR識別（準確率業界頂尖的可以做到99.5%以上，但會受到證件磨損、光線條件的影響）
• 手機號實名驗證（中國大陸的支付寶/微信級別的驗證可以對接公安系統，北美和歐洲則依賴電信商的資料庫）
• 電子郵箱驗證（技術含量最低但作為輔助手段仍有價值）

Level 2 - 中等風險驗證（Medium KYC）

這一層通常要求用戶提交地址證明（的水電費帳單或銀行對帳單）和身份證件的彩色掃描件。技術上會加入：

• 文件真偽檢測（透過比對文件上的水印、全息圖、微縮文字等防偽特徵）
• 地址驗證（確認文件上的地址是真實可投遞的）
• 人工審核（對可疑文件進行人工複核）

2024年，一家專門做加密貨幣合規服務的公司Chainalysis收購了一家叫做「Notabene」的公司，後者的核心產品是一套自動化的KYC/AML風險評估引擎。根據Chainalysis公開的數據，Notabene的系統可以自動完成Level 2 KYC審核的約70%，只有30%需要人工介入。這讓一家中等規模交易所的KYC審核團隊從15人縮減到了4-5人。

Level 3 - 高風險強化盡職調查（High Risk / EDD）

涉及到高風險客戶（比如政治敏感人士PEPs、政治領袖家屬、制裁名單上人員的親屬），就需要Level 3的強化盡職調查。這包括：

• 獨立的第三方背景調查（使用Dow Jones Risk & Compliance、World-Check等商業數據庫）
• 資金來源證明（要求用戶解釋並證明其財富來源的合法性）
• 受益所有權穿透（Beneficial Ownership穿透到最終受益人）
• 持續監控（ ongoing monitoring of the account）

這個level的成本相當可觀。業界的一般行情是，Level 1 KYC的平均成本約為5-15美元，Level 2約為30-100美元，而Level 3的EDD可以高達500-5,000美元一次（如果需要第三方調查公司的話）。所以很多交易所的做法是先用鏈上分析工具篩選，如果地址與高風險群體有互動才升級到EDD。

2.2 鏈上AML分析：Chainalysis、Elliptic與開源工具

傳統金融的AML系統看的是SWIFT交易記錄、帳戶餘額變動和客戶背景。比特幣AML的獨特之處在於：區塊鏈是一個公開的帳本，每一筆交易都可以被任何人在任何時候查詢，這既是挑戰（隱私保護）也是機會（透明度）。

主流的區塊鏈分析公司用「標籤圖譜」（tag graph）的方式來識別比特幣地址的身份。概念很簡單：Chainalysis雇用了大量的研究人員，通過各種合法途徑（交易所公告、執法機構協助、新聞報導等）收集已知比特幣地址的身份資訊，並建立一個龐大的標籤數據庫。

根據Chainalysis 2024年的公開報告，他們的數據庫涵蓋了約10億個標記過的比特幣地址，識別出的「高風險」地址群體包括：

• 已知的暗網市場錢包（約400萬個地址）
• 勒索軟體運營商的錢包（約50萬個地址）
• 制裁指定人員的錢包（約3萬個地址）
• 龐氏騙局項目的錢包（約800萬個地址）

這些數據是怎麼來的？Chainalysis從來沒有完整公開過方法論，但可以確定的是：執法機構（如FBI、Europol）在查獲犯罪案件時，會要求交易所提供涉案比特幣地址的KYC資料，這些資料成為Chainalysis標籤數據庫的重要來源。交易所也可以選擇自願將客戶地址貢獻給Chainalysis換取服務折扣，這在業界是公開的秘密。

當然，這套系統並不是無懈可擊的。批評者指出：標籤數據庫存在偏見——越多人使用的服務（如Coinbase）被標記得越詳細，而一些新興的隱私工具（如CoinJoin）在被廣泛使用後也會被標記為「高風險」，即使參與者完全是合法的。這就是為什麼我一直強調：區塊鏈分析工具是AML的有力輔助，但不應該是唯一的判斷依據。

開源AML工具：GLERA和Bitcoin_abuse.com

不想用商業工具的話，也有一些開源的替代方案：

• GLERA（Global LEARN Ransomware Architecture）：一個由安全研究社群維護的比特幣勒索軟體地址數據庫
• Bitcoin Abuse Database：收集比特幣地址被用於勒索、詐騙的舉報數據庫
• OXT Research：專注於鏈上分析的开源工具，提供免費的UTXO追踪和錢包聚類功能

我個人建議的做法是：中小型交易所可以先用開源工具做初篩，遇到可疑案例再用商業工具做深度分析。商業工具的數據覆蓋率高，但收費不便宜（Chainalysis的年度授權費用從數萬到數十萬美元不等，取決於查詢量）。

2.3 實例：一次真實的洗錢案件追蹤

說點實際的案例。2023年，韩国最大加密货币交易所之一Upbit協助韩国国家情报院（NIS）追蹤了一批涉及 約1.2兆韓元（約9,000萬美元）洗錢活動的比特幣地址。

案情大概是這樣的：Upbit的AML系統檢測到一批帳戶有異常的交易模式——這些帳戶在短時間內（通常是小時級別）接收大量比特幣，然後立即通過多次小額轉帳分散到數百個目的地址。Upbit的風險評分引擎給這批帳戶標記了「高風險」，觸發了EDD審查。

進一步的鏈上分析顯示，這批比特幣最終流入了一個約有3,000個地址的錢包群組，地址的指紋特徵（交易大小、時間間隔、轉帳模式）與一個已知的水貨商品市場（類似暗網市場但規模較小的地下交易網路）高度吻合。Upbit將這些分析結果提供給了執法機構，後續的調查確認了這些比特幣與一個涉及毒品販運和武器走私的跨國犯罪組織有關聯。

這個案例說明了現代比特幣AML的實踐模式：交易所的鏈上分析系統 + 執法機構的傳統偵查手段 + 區塊鏈分析公司的數據庫，三者協作才能有效打擊比特幣犯罪。單靠區塊鏈分析是不夠的——鏈上數據只能告訴你「這些地址之間有資金往來」，但無法告訴你「背後的人是誰」；單靠傳統偵查也不夠——比特幣的跨境性和匿名性讓傳統方法很難追蹤。

參、跨國稅務申報：各國規定比你想的更不一樣

比特幣的跨境特性讓稅務申報變成一個極度複雜的問題。一筆比特幣交易可能涉及三個以上的國家——你在台灣的交易所買了比特幣，轉到了香港的冷錢包，後來在日本的交易所換成了以太幣，最後又在新加坡結算成美元。請問哪個國家對這筆交易有課稅權？每個國家的回答都不一樣。

3.1 各國比特幣課稅方式比較

3.2 實際操作中最讓人頭疼的問題

問題一：跨國OTC交易的稅務歸屬

假設你在台北的交易所买了0.5 BTC，通过场外交易（OTC）卖给了伊朗的一个比特币矿工，矿工支付的是USDT。这个交易涉及台湾、伊朗、美国（USDT发行方Tether的美元储备所在地）三个司法管辖区的税务问题。在台湾，这笔OTC交易是否需要申报？按什么税率？如果矿工是从制裁地区的，怎么处理合规义务？

这个问题在全球任何一个主要经济体都没有给出明确的答案。美国IRS在2023年的指引更新中提到，所有涉及虚拟资产的交易都需要申报，包括跨境OTC交易，但这个指引在实际执行中非常模糊。

問題二：「泡菜溢價」與套利交易的課稅

2017年前後，韓國比特幣價格因為市場隔離和資本管制，出現了高達30-50%的溢價（被稱為「泡菜溢價」）。大量套利交易者利用這個溢價在韓國和海外交易所之間搬磚，韓國政府從這些交易中收到的稅款成為了監管機構日益關注的話題。

2025年1月，韩国正式开始对所有虚拟资产交易全面征税（此前已多次延期），这一政策导致大量韩国散户的交易量在2024年底出现了一波「赶在税前交易」的浪潮。韩国国税厅（NTS）的数据显示，2025年第一季度通过申报的比特币相关资本利得税达到了约2,400亿韩元（约1.8亿美元），超出预期的约35%。

問題三：比特幣繼承與贈與的課稅

这是一个在实务中越来越多见的场景。比特币持有者去世后，其比特币资产如何课税？在大多数国家，比特币继承需要缴纳遗产税或赠与税。但问题是：比特币的价格波动极大，继承发生时点的价格认定存在巨大弹性。美国IRS目前的规定是，继承人以继承发生日的市价作为成本基础，这意味着如果比特币在持有期间大涨，继承人未来出售时需要缴纳的资本利得税会相应增加。

我听说了一个有趣的实际案例：一位美国比特币持有者在其持有约0.5 BTC的情况下去世，这笔比特币后来价值超过100万美元。按照现行规定，继承人不光要处理遗产税问题，未来出售时的资本利得税也会是一笔不小的数字。这促使一些有先见之明的比特币持有者开始通过「Bitcoin IRA」或信托机构来处理比特币继承规划，而不是简单地交给法定继承人。

肆、技術合規工具全景圖

對於在交易所或比特幣公司工作的人來說，知道「要用什麼工具」可能比「要知道什麼規定」更實際。以下是目前業界最常用的技術合規工具的一個不完全盤點：

伍、結語：合規是成本還是機會？

寫到最後，我想拋開純技術的框架，說點個人的觀察。比特幣社群對AML/KYC的態度向來是兩極的——一部分人認為這是金融系統正常運作的必要代價，一部分人認為這本質上是對比特幣「去中心化、抗審查」核心價值的背叛。

我個人比較務實。比特幣要成為主流的價值儲存和支付手段，就必須融入現有的金融生態系統，而融入的代價就是合規。這不是一個意識形態的選擇，而是一個商業生存的問題。現在那些完全忽視合規的交易所和項目，遲早會因為銀行合作夥伴的切斷（銀行合規團隊越來越不願意與加密貨幣公司合作）、或者監管機構的罰款（金額往往遠超節省的合規成本）而付出代價。

但合規也不應該變成「把所有權力交給少數幾個大公司」的遊戲。Chainalysis、Elliptic這些商業工具有一個問題：它們的數據庫是封閉的，演算法是不透明的，存在系統性偏見的風險。我希望看到更多開源、合規工具的發展，這樣中小型的比特幣公司也能有平等的合規能力。

最終，AML/KYC的目標是打擊犯罪，而不是消滅比特幣的隱私性。技術上，這兩件事是可以同時做到的——問題只在於監管機構和業界願不願意付出這個努力。Travel Rule的落地困難、比特幣的隱私保護技術不斷演進、監管框架的國際協調缺失——這些問題短期內不會消失。但如果你在這個行業工作，理解這些技術細節，至少可以讓你在和監管機構、或合規團隊溝通的時候，多一點底氣。