Хранение криптоактивов в ОАЭ: сравнение DIFC, ADGM и VARA в Дубае

DIFC, ADGM и VARA поддерживают проекты по хранению криптоактивов, однако каждый режим по-своему рассматривает вопросы сохранности активов, аутсорсинга, сегрегации, страхования и управления ключами. Это самостоятельные регуляторные системы, поэтому выбор зависит от клиентской базы, операционной модели, смежных видов деятельности и места фактической работы команды.

Карта: три регулятора, три периметра

• DIFC - Международный финансовый центр Дубая, финансовая свободная зона с системой общего права под надзором DFSA. Деятельность с криптоактивами регулируется режимом криптотокенов DFSA, встроенным в зрелую систему правил по образцу регулирования ценных бумаг, за которой стоит два десятилетия надзорной практики.
• ADGM - Международный финансовый центр Абу-Даби, также основанный на общем праве и находящийся под надзором FSRA. В 2018 году FSRA опубликовала первую в регионе комплексную систему регулирования виртуальных активов и располагает самым продолжительным в странах Персидского залива опытом надзора за кастодианами криптоактивов.
• VARA - Управление по регулированию виртуальных активов Дубая, регулятор уровня эмирата, созданный законодательством Дубая в 2022 году для деятельности с виртуальными активами в Дубае за пределами DIFC. VARA выдаёт лицензии по видам деятельности, включая хранение, на основании сводов правил, изначально разработанных для виртуальных активов, а не адаптированных из регулирования ценных бумаг.

Федеральную картину дополняют ещё два уровня. Федеральное Управление по ценным бумагам и сырьевым товарам регулирует деятельность с виртуальными активами на основной территории ОАЭ за пределами Дубая, а координационное соглашение охватывает эмират, находящийся в периметре VARA. Кроме того, правила центрального банка о платёжных токенах выделяют выпуск стейблкоинов, привязанных к фиатной валюте, и услуги с платёжными токенами в отдельный режим. Кастодиальному бизнесу, работающему с платёжными стейблкоинами, следует отдельно проверить применимость этого уровня регулирования.

Кастодиальный бизнес, физически работающий из Дубая, фактически выбирает между DFSA и VARA, тогда как база в Абу-Даби ведёт к FSRA. Целевые клиенты имеют не меньшее значение, чем география: институциональные мандаты с консервативными контрагентами обычно ценят свободные зоны с общим правом и знакомой правовой инфраструктурой, а VARA открывает доступ к более широкому рынку Дубая и естественно сочетается с биржевой и брокерской деятельностью под надзором одного местного регулятора.

Что означает «хранение» в каждом своде правил

Термин охватывает одну и ту же экономическую деятельность - хранение виртуальных активов клиентов или средств доступа к ним, - однако регуляторная фактура различается.

ADGM (FSRA)

Система FSRA наиболее детально регламентирует операционные аспекты. Требования к организации холодных и горячих кошельков, контролю вывода средств, белым спискам адресов, периодичности сверки и реагированию на инциденты прямо изложены в руководствах, и надзор оценивает работу по этим требованиям, а не рассматривает их как ориентиры. Клиентские активы хранятся на условиях, аналогичных трасту, с чёткими обязанностями по ведению учёта и документации. При авторизации проверяется операционная компетентность компании, а не только её политики: регулятор проводит пошаговые проверки и нередко требует продемонстрировать архитектуру кошельков в рамках процесса авторизации.

FSRA также рассматривает всю систему виртуальных активов комплексно: хранение существует наряду с режимами для бирж и посредников, а кастодиан, обслуживающий площадки с лицензией FSRA, принимает на себя сформированные этой экосистемой требования к взаимодействию, включая окончательность расчётов и подтверждение сегрегации.

DIFC (DFSA)

DFSA опирается на существующую систему регулирования клиентских активов, адаптированную к токенам. Вопросы соответствуют тем, с которыми сталкивается кастодиан ценных бумаг: правовой титул и способы его подтверждения, контроль использования клиентских активов, ограничения на повторное залоговое обременение, проверка сторонних субкастодианов и раскрытие информации клиентам. Эти требования применяются к инфраструктуре кошельков. Режим также предусматривает признание самих токенов: перечень криптотокенов, разрешённых к использованию в центре, определяется регулятором, и кастодиальное предложение должно соответствовать этому перечню.

Компании с опытом традиционного хранения обычно считают пакет документов DFSA знакомым. Командам, изначально ориентированным на криптоактивы, следует подготовиться к дисциплине, характерной для регулирования ценных бумаг, включая корпоративное управление, аудит и клиентскую документацию.

VARA

Свод правил VARA для кастодиальных услуг ориентирован на конкретный вид деятельности и операционные процессы. В нём прямо рассматриваются церемонии генерации ключей, шардинг и схемы с несколькими подписями, проверка сотрудников, имеющих доступ к ключам, сегрегация виртуальных активов клиентов и обязанности по уведомлению об инцидентах. Его дополняют обязательные своды правил VARA по управлению, комплаенсу и технологиям, применимые ко всем лицензируемым видам деятельности.

VARA ожидает реального местного присутствия в Дубае, включая саму кастодиальную операцию, а не только офис продаж. Для надзорного подхода характерна последовательная доработка: распространены лицензионные условия, поэтапные одобрения и отдельные стадии операционного запуска. Такой подход подходит заявителям, которые с самого начала планируют взаимодействие с регулятором и подготовку к запуску.

Сохранность и сегрегация: общая основа

Все три режима сходятся в принципах, на которые могут полагаться клиент или контрагент:

• Виртуальные активы клиентов отделены от собственных активов компании и могут быть идентифицированы в любой момент.
• Предусмотрена защита в случае несостоятельности компании на основе трастовых или аналогичных механизмов и документации, позволяющей суду чётко установить требования клиента.
• Учёт и документация обеспечивают сверку прав клиентов с активами в блокчейне с периодичностью, доступной для проверки регулятором.
• Клиентские активы используются исключительно в рамках прямо предусмотренных регулируемых механизмов.

Различия заключаются в детализации и способе проверки: FSRA предписывающе проверяет операции, DFSA использует сложившуюся практику аудита клиентских активов, а VARA применяет поэтапные одобрения и подтверждение соответствия каждому своду правил.

Управление ключами и аутсорсинг

Технический вопрос хранения - кто, где и под каким контролем держит ключи - регулируется по-разному, но проверяется во всех трёх режимах:

• Технологии самостоятельного хранения, включая HSM, MPC и multi-sig, допускаются во всех трёх режимах, однако компания должна подтвердить собственную компетентность: назначить конкретных держателей ключей, отработать церемонии, задокументировать восстановление и протестировать аварийное переключение. Поддержка поставщиков включается в эту внутреннюю систему контроля.
• Субкастодиальные и технологические аутсорсинговые решения разрешены при условии надлежащей проверки, постоянного контроля, прав на аудит и доступ, а также наличия планов выхода. FSRA и DFSA применяют общие правила аутсорсинга вместе со специальными требованиями к криптоактивам, а VARA непосредственно регулирует аутсорсинг в своих сводах правил.
• Во всех трёх режимах ответственность сохраняется за лицензированным кастодианом. Договоры аутсорсинга должны обеспечивать надзор, доступ для аудита, непрерывность услуг и чёткое распределение ответственности.

Практика реализованных проектов показывает, что раздел об управлении ключами наиболее эффективен в формате операционного руководства со сценариями церемоний, таблицами кворумов и планами действий при компрометации, привязанными к фактической системе.

Страхование и финансовые ресурсы

Во всех трёх режимах следует ожидать вопросов о страховании или равноценных механизмах покрытия потерь по активам, находящимся на хранении. Глубина проверки зависит от профиля риска архитектуры кошельков: глубокое холодное хранение со строгими кворумами вызывает меньше вопросов, чем тёплая инфраструктура для частого вывода средств. Доступный страховой рынок остаётся ограниченным, что отражается в стоимости. Условия, исключения и сублимиты требуют не менее тщательной проверки, чем размер премии, а окончательный полис должен соответствовать архитектуре и информации, раскрываемой клиентам.

Требования к капиталу зависят от видов деятельности и расходов, а не сводятся к единой показательной сумме для всех трёх режимов. Реалистичный бюджет следует строить на финансовой модели, проверенной по пруденциальным правилам выбранного регулятора, включая компоненты, основанные на расходах, надбавки за виды деятельности и требования к ликвидным активам, а не на цифре из сравнительной таблицы. Сначала разработайте модель, и она определит необходимый капитал.

Как выбрать режим

• Выбирайте ADGM, когда важнее всего опыт надзора за кастодиальной деятельностью и детальный, предсказуемый свод правил. Это типичный вариант для институционального хранения, особенно если контрагенты будут проверять регулятора столь же тщательно, как и саму компанию.
• Выбирайте DIFC, когда предложение связано с услугами, характерными для рынка ценных бумаг, клиентская база сосредоточена в институциональной экосистеме DIFC или группа уже ведёт бизнес по лицензии DFSA.
• Выбирайте VARA, когда бизнес ориентирован на Дубай и выходит за рамки одного лишь хранения, охватывая смежные направления, такие как биржевые услуги, брокерская деятельность или стейкинг, либо когда стратегия объединяет розничный охват и реальное местное присутствие под надзором одного регулятора.

Стоимость и сроки достаточно сопоставимы, поэтому не должны самостоятельно определять выбор. Ключевые факторы - ожидания клиентов, смежные виды деятельности и место фактической работы команды.

Приоритеты при подготовке кастодиального проекта в ОАЭ

• Выберите регулятора с учётом клиентской базы, смежных видов деятельности, места ведения операций и соответствия свода правил вашей модели.
• Указывайте точное разрешение DIFC, ADGM или VARA в документах совета директоров, материалах для инвесторов и при комплексной проверке.
• Разрабатывайте кастодиальную политику совместно с ответственными за правовые вопросы, операции и технологии, охватывая церемонии, кворумы, сверки и восстановление.
• Сопоставьте федеральные уровни регулирования, включая координацию с SCA и правила центрального банка о платёжных токенах, с каждой функцией продукта.
• Разместите операционную деятельность, включая персонал по управлению ключами, в юрисдикции лицензии.

Структура заявления: что требуют все три регулятора

Перечень разделов пакета для DFSA, FSRA и VARA в целом схож, даже если своды правил различаются:

• Регуляторный бизнес-план: кастодиальное предложение, клиентские сегменты, охват активов и модель доходов, включая влияние любой смежной торговой деятельности на конфликты интересов.
• Собственность и управление: структура владения до физических лиц, источник капитала, состав совета директоров и схема высшего руководства с указанием ответственных лиц за комплаенс, риски, функцию MLRO и технологии.
• Раздел о кастодиальных операциях: сквозная архитектура кошельков, включая генерацию ключей, уровни хранения, таблицы кворумов, пороги авторизации перемещения активов, белые списки, периодичность сверки, сценарии реагирования на инциденты и компрометацию, а также процедуры восстановления с подтверждением испытаний.
• Система работы с клиентскими активами: правовая модель хранения, включая трастовую или аналогичную конструкцию, раскрытие информации клиентам, механика сегрегации и организация учёта, позволяющая аудитору сопоставить права клиентов с активами в блокчейне.
• Технологии и безопасность: тестирование на проникновение, проверка поставщиков, управление изменениями, непрерывность бизнеса с целевыми показателями восстановления и, всё чаще, доказательства отработки компанией перечисленных сценариев нарушения работы.
• Финансовые ресурсы: расчёт капитала по правилам выбранного режима с прогнозами и стрессовым сценарием.
• AML/CFT: программа, инструменты, внедрение Travel Rule и аналитические материалы, подтверждающие управление собственными рисками компании.

Самая эффективная подготовка во всех трёх режимах - внутренний пробный аудит, при котором не участвовавший в проекте специалист сопоставляет раздел о хранении с фактическими системами. Регуляторы региона проводят именно такую проверку и иногда буквально просят продемонстрировать церемонию перевода активов.

От лицензии до первого клиентского актива: этап запуска

На практике все три регулятора разделяют авторизацию и операционный запуск. Планируйте его как отдельное направление работы, включающее:

• Предварительные условия: лицензии часто выдаются с условиями, включая утверждение окончательных политик, завершение найма, оформление страхования и аттестацию систем. Эти условия необходимо выполнить до перемещения первого клиентского актива.
• Банковская инфраструктура и фиатные каналы: фиатная часть приёма депозитов и выплаты средств при погашении требует отдельного банковского обслуживания, которое следует выстраивать параллельно с самого начала проекта.
• Назначение аудитора: механизмы аудита клиентских активов должны быть готовы к запуску или вскоре после него, поэтому подключение аудиторской фирмы следует начинать в процессе авторизации.
• Оформление страхования: согласованные в принципе при подаче заявления условия необходимо преобразовать в действующий полис, соответствующий окончательной операционной модели.

Реалистичный план предусматривает отдельный этап длительностью от двух до четырёх месяцев между авторизацией и запуском, за который отвечает назначенный руководитель.

Расходы сверх лицензионного сбора

• Сборы за подачу заявления и ежегодный надзор, которые различаются в зависимости от регулятора и набора видов деятельности, но редко являются крупнейшей статьёй расходов.
• Технологический стек хранения: HSM или лицензии на MPC-платформу, аналитические инструменты и мониторинг. Ежегодные расходы на них сопоставимы с вознаграждением старших специалистов.
• Страховые премии по активам, находящимся на хранении, рассчитанные с учётом профиля риска архитектуры и условий ограниченного рынка.
• Местная команда: персонал по управлению ключами, комплаенсу, функциям MLRO и технологиям в месте действия лицензии. Так требования к реальному присутствию преобразуются в расходы на персонал.
• Аудит: проверка клиентских активов и финансовой отчётности фирмами, готовыми подписывать заключения по хранению криптоактивов, по стоимости, соответствующей уровню требуемой уверенности.

В реализованных проектах постоянные операционные расходы в первый год обычно существеннее регуляторных сборов. Полный бюджет с самого начала должен учитывать обе категории.

Вопросы клиентов

Как группы организуют охват различных территорий ОАЭ?

Лицензии DIFC и ADGM охватывают деятельность в соответствующих центрах и из них, VARA регулирует Дубай за пределами DIFC, а SCA - остальную основную территорию страны. Группы, работающие в нескольких периметрах, выстраивают структуру соответствующим образом, обычно используя один операционный центр и договорённости о дистрибуции.

Нужны ли отдельные лицензии для хранения и биржевой деятельности?

Во всех трёх режимах лицензирование осуществляется по видам деятельности. Совмещение хранения с биржевой или брокерско-дилерской деятельностью требует нескольких разрешений на деятельность, обычно в рамках одной компании и одного заявления, но каждый вид деятельности проверяется по отдельному своду правил.

Сколько времени занимает авторизация?

Планируйте срок в месяцах, а не в неделях. Реалистичный полный процесс занимает от шести до двенадцати месяцев в зависимости от очереди регулятора, полноты пакета и скорости ответов компании на вопросы. Поэтапная модель VARA позволяет раньше получить условную лицензию, при этом операционный запуск зависит от окончательных одобрений.

Какой режим предпочитают институциональные клиенты?

Мандаты с консервативными LP и глобальными банками в качестве контрагентов обычно отдают предпочтение ADGM и DIFC благодаря правовой среде общего права и знакомой модели надзора. Бизнесу, ориентированному на Дубай и связанному с розничным рынком, чаще подходит VARA. Спросите крупнейших целевых клиентов, какой регулятор лучше соответствует их процессу комплексной проверки, и учтите их мнение при выборе режима.

В каждом случае регулятор захочет увидеть реального оператора: назначенных держателей ключей, отработанные церемонии, протестированное восстановление и фактическую сверку. Юрисдикции различаются, но это ожидание остаётся неизменным.