FATF更新旅行规则指引，虚拟资产服务商必须穿透受益所有人信息

2025年3月，金融行动特别工作组（FATF）发布了最新一版关于“旅行规则”的修订指引，这次更新引发了全球虚拟资产服务商（VASP）行业的强烈震动，核心变化非常明确：VASP在转移虚拟资产时，除了要交换发送方和接收方的基础信息，还必须共享最终受益所有人的身份资料，这不再是一个提议或者建议，而是FATF明确要求各国立法采纳的合规标准。

理解这次更新的意义，需要先回到“旅行规则”的原始设定，2019年，FATF首次将虚拟资产和虚拟资产服务商纳入反洗钱框架，要求VASP在交易金额超过1000美元时，收集并传递交易双方的姓名、地址、账户号码等身份信息，这个机制对应的是传统银行电汇领域的“旅行规则”，目的是让执法部门能追踪资金流向，但现实执行中，漏洞很快暴露出来，大量VASP只交换交易对手的直接身份信息，比如钱包地址或者托管账户名，而真正的资产控制人——那些通过公司结构、信托、基金会甚至代持协议隐藏身份的自然人，依然可以躲在信息屏障后面。

FATF在2024年全球洗钱风险评估报告中明确指出，虚拟资产行业利用复杂所有权结构规避监管的案例在加速增长，仅2023年到2024年，涉及空壳公司与虚拟资产混合服务的可疑交易报告数量就上升了百分之三百四十，正是这种现实压力，促使FATF在2025年指引中把焦点转向了受益所有人（Beneficial Owner）。

什么是受益所有人？通俗说，就是那个最终拥有或控制资产的自然人，不管中间股权链条有多长，也不管资产名义上登记在谁名下，只要能确认一个自然人对资产拥有百分之二十五以上的所有权或控制权，这个人就是受益所有人，FATF新版指引要求，VASP在发起或接收虚拟资产转移时，必须对交易对手方进行受益所有人的穿透识别，并将识别结果随交易信息一并传递给对手方。

具体操作层面，变化是巨大的，过去，一家注册在开曼群岛的虚拟资产基金管理公司向另一家位于新加坡的交易所发起一笔转账，只要两家VASP之间交换的是公司名称、注册编码和注册地址，就算合规，现在不行了，新加坡交易所必须拿到这家开曼基金背后的自然人的姓名、国籍、身份证件编号、出生日期以及住址，如果开曼基金旗下还有多层投资结构，比如设立了BVI层、香港家族信托层、卢森堡特殊目的载体层，那么最终穿透到的每一个持有比例超过门槛的自然人，信息都要被提取出来，打包在交易行程中。

这个要求直接冲击了虚拟资产行业长期依赖的匿名性和隐私性，很多从业者抱怨，明明区块链本身是公开透明的，现在却要额外加载传统金融的合规流程，完全是倒退，但FATF并不这么看，他们在指引中援引了数十起案例：加密货币专门被用来绕过公司实体的受益所有人登记制度，例如通过去中心化交易所混币、通过隐私钱包拆分交易，使得执法机构即使拿到链上数据也无法确定资产属于谁，FATF认为，只有把信息共享从“你是谁”扩大到“你实际上代表谁”，才能切断黑色产业链。

技术实现上，这个新指引带来了巨大挑战，目前全球已有超过四十个国家和地区采纳了旅行规则，其中大多数使用的是“阳光沙箱”协议或者由虚拟资产服务商联盟开发的开放标准，但过去的标准里没有“受益所有人”字段，现在要新增进去，涉及的不是简单的数据字段扩展，而是跨司法管辖区的法律逻辑统一，日本法律要求受益所有人披露必须征得本人同意，而阿拉伯联合酋长国则允许公司指定一名名义受益人代替实际控制人提供信息，当一家日本交易所要把一笔资金发给迪拜交易所时，受益所有人信息到底按照谁的标准提供？FATF给出的答案是：必须同时满足双方司法管辖区的法律要求，并以最严格的那一方为准，这意味着VASP必须同时维护多套受益所有人识别规则，并且能够在交易瞬间自动匹配。

更棘手的是，去中心化金融（DeFi）协议和去中心化交易所（DEX）不直接受FATF管辖，很多犯罪分子已经注意到这个政策变化，开始把资金从中心化服务商迁移到DeFi池子，FATF对此打了补丁：如果一家VASP在交易过程中与DeFi协议发生交互，比如使用了聚合器或者流动性池，那么这家VASP仍需承担受益所有人信息的识别义务，即使对手方是智能合约而非人工服务，也就是说，合规责任必须穿透到任何能接触到资产的环节。

各国监管层的反应速度不一，英国金融行为监管局在FATF更新的七十二小时内就发布了本国的咨询文件，计划将受益所有人共享要求列为授权VASP的强制条件，新加坡金融管理局态度相对审慎，表示需要先评估技术实施成本，但原则上支持FATF立场，美国金融犯罪执法网络（FinCEN）则直接宣布，将在六个月内修订现行旅行规则条例，增加受益所有人字段，并考虑将处罚上限从原有金额提高三倍，中国香港正在推动虚拟资产服务商牌照制度的第二阶段改革，受益所有人穿透已被列入核心条款，欧洲议会方面，部分议员提出要借此机会修订反洗钱指令，将受益所有人注册范围从公司法层面扩展到所有加密货币钱包提供商。

对VASP来说，这个指引带来的合规成本是刚性的，小型交易所和托管钱包供应商特别脆弱，他们不但要购买或自建受益所有人识别系统，还需要雇佣法律团队解析不同国家的穿透规则差异、投资KYC技术以验证股东文件真实性、以及建立跨时区的交易审核流程，一次性投入动辄上百万美元，后续每笔交易的处理费也可能增加五到十五个基点，预计未来两年内，全球将有不少于三百家中小型VASP因为无法满足受益所有人共享要求而退出市场，而那些坚守下来的大型平台，也并非高枕无忧，他们必须面对用户流失，因为部分高净值客户偏偏看中虚拟资产的匿名性，现在这条路径被压缩了。

但别忘了，受益所有人信息的收集和共享本身也是一个巨大的隐私风险点，指引要求VASP不仅要存储这些敏感数据，还必须将其在交易链条中传递给对手方，一旦对手方服务水平或技术安全不到位，泄露的可能不是简单的邮箱地址，而是完整的个人身份与资产对应关系，FATF对此并未给出硬性加密标准，只是建议VASP采用“端到端加密”和“最小必要数据原则”，这让很多隐私倡导者感到不满，他们认为，FATF一方面在破坏金融隐私，另一方面又没有提供足以保护隐私的技术框架，这等于把用户暴露在数据滥用和黑客攻击的十字路口。

从宏观看，这次更新标志着反洗钱监管从机构级走向自然人级，传统金融体系中，受益所有人制度主要用于公司注册和账户开立阶段，但交易环节很少强制进行穿透共享，FATF将其引入虚拟资产转移流程，等于把监管触角直接探到资金流动的毛细血管里，这对全球税收透明、反腐败和反恐怖融资有明显正面作用，但代价是虚拟资产行业再也不可能被当作“传统金融之外的平行世界”来运营了。

一些业内人士已经开始呼吁行业自救，比如探索使用零知识证明技术来验证受益所有人身份是否存在，而不暴露具体信息，还有人在推动建立跨境VASP互认的数据托管机制，让受益所有人信息在一个封闭的、经过审计的治理网络中流通，不落地到每个参与方服务器，但这些方案目前都不成熟，实际落地至少需要三到五年。

眼下，FATF给各国留出了大约十二到十八个月的转化期，各成员国必须在这个窗口期内把指引转化为国内法规，所有合规VASP必须做好准备：如果一家交易所或托管方在2026年底之前还不能在每笔旅行规则交易中提供受益所有人信息，它将面临吊销牌照甚至被认定为非法金融机构的风险。

对最终用户而言，继续使用虚拟资产服务的体验会变得更加“金融化”，你的交易所可能会要求你上传公司结构图、股权说明书甚至信托协议，才能完成一笔如常的转账，VASP将不再只是交易平台，它们会变成事实上的金融情报单位，很多人会因此退出虚拟资产领域，但也有人相信，只有承受这种透明度，虚拟资产才能在全世界的金融体系中获得真正的合法地位。

FATF的这次更新，可能在很多人看来是虚拟资产自由精神的一次沉重打击，但换个角度，它也是一次强制性的身份透明度重构，当每一笔转移都能追溯到最终受益的自然人，虚拟资产才有可能逃脱“地下金融”标签，这条路走起来疼,但可能不得不走。