立法院於 2026 年 6 月 30 日三讀通過《虛擬資產服務法》，臺灣虛擬資產產業正式邁入專法時代。目前臺灣共有八家通過金管會登記制的合規虛擬資產服務商（Virtual Asset Service Provider，VASP）， 唯有取得主管機關許可才能夠營運。但取得許可，並不代表平台從此不再面臨安全與營運風險。
XREX 共同創辦人暨集團執行長黃耀文 Wayne 出席 TAAS「金融機構數位資產實務轉型」年度系列講座時表示：「不是合規就安全，更重要的是業者對於風險的掌控。」
他指出，從駭客攻擊、使用者資產保管、不法金流，到銀行合作及跨境款項能否順利到帳，都需要業者在符合法規之外，建立持續辨識與管理風險的能力。合規只是營運的起點，真正決定 VASP 業者能否長期經營的，是能否提早看見問題，並在風險演變成損失前採取行動。
合規只是起點！資產保管與金流監控仍須靠業者落實
即使交易所完成主管機關要求的法遵程序，一旦系統遭到駭客攻擊，使用者資產仍可能受損，而已經發生的損失也無法單靠法規挽回。
黃耀文表示，資產保管是交易所最基礎、也最不能妥協的一層。錢包架構、金鑰管理及權限設計，都取決於業者本身的工程與資安能力。法規可以訂出業者應達到的標準，卻無法代替業者把系統及日常管理工作做好。
在不法金流防制方面，即使業者導入 Sumsub、TRM Labs 與 Chainalysis 等第三方金流追蹤工具，逐筆掃描交易，也遵循防制洗錢金融行動工作組織（Financial Action Task Force，FATF）的「轉帳規則」（Travel Rule），在虛擬資產轉帳時傳遞收付款人資訊，仍無法完全排除不法資金流入平台的可能性。
工具與規範可以協助業者辨識風險，卻不能取代資產保管、金流監控及事件應變能力。相關事件除了可能引發司法調查與商譽風險，也可能影響合作銀行是否願意繼續提供新臺幣出入金服務，以及跨境款項能否順利到帳。
黃耀文強調，符合監管要求與持續管理實際風險，是兩個緊密相連卻又不同層次的工作。前者是合法營運的基本條件；後者則決定平台是否有能力長期、安全地提供服務。兩者缺一不可。
XREX 集團以資安團隊起家，近期集團資安長 Sun Huang 率領資安團隊參加國際大型語言模型（large language model，LLM）智慧合約 （Smart Contract）漏洞辨識競賽 OneSavie Bastet Kaggle Competition，在全球 221 支參賽隊伍中奪下第一名，並成功辨識主辦單位評測案例中 99.5％ 的智慧合約漏洞。這項成果也顯示，資安能力不只來自制度與規範，更仰賴團隊持續累積技術、流程及實戰經驗。
🔹 延伸閱讀：擊敗全球 221 支隊伍！XREX 集團資安團隊奪下國際 LLM 智慧合約漏洞辨識競賽全球第一名！漏洞成功辨識率達 99.5％
以「系統可能已遭入侵」為前提，及早找出平台未爆彈
黃耀文是國際知名的資安專家，他表示，資安工作的核心，不是先假設系統處於安全狀態，而是預設系統可能已經遭到入侵，後門或木馬或許早已存在，只是尚未被發現或啟動。
這套思維也應延伸至金融與區塊鏈服務，若平台沒有持續檢視帳戶及交易行為，可疑帳戶與異常金流就可能長期累積，成為日後才爆發的「未爆彈」。
平台面對的風險也不只來自駭客。受詐騙者可能依照犯罪集團指示在平台買幣；犯罪者可能將不法所得分批換回新臺幣；也可能有人為了逃漏稅或將資產移往境外，持續買入穩定幣並轉出。
若未能及早辨識，相關交易模式可能在平台內累積五年、十年，最終衍生司法調查、稅務及品牌風險。
一筆交易只賺 5 美元，後續風險成本可能高出數千倍
黃耀文提醒，平台承擔的風險與單筆交易帶來的收入，往往不成比例。
假設一筆交易僅為平台帶來五個基點（basis point，bp）的手續費，也就是 0.05％，以 1 萬美元交易額估算，平台收入約為 5 美元。
然而，若這筆金流日後引發調查，業者需要投入的法遵人力、律師費用及商譽成本，可能是原始收入的數千倍。因此，業者不能只看一筆交易可以帶來多少收入，也必須評估交易背後可能產生的長期風險。
風險管理不是愈嚴愈好，而是在安全、成本與使用者體驗間取平衡
風險不可能完全消失。業者可以透過錢包管理、金流監控及人工智慧（artificial intelligence，AI）等技術降低風險，但每增加一層審查，都會提高營運成本，也可能影響使用者體驗。
例如，若認識你的客戶（Know Your Customer，KYC）審查需要兩天才能完成，使用者可能直接放棄註冊；如果每一筆交易都要同時調用多套監控工具，營運成本也可能提高到業者難以負擔的程度。
業者真正的工作，是在降低風險、控制成本及維持使用者體驗之間，找到能夠長期運作的做法，同時避免平台遭受攻擊，或被詐騙、洗錢及其他不法行為利用。
黃耀文認為，專法時代下，VASP 業者需要建立的，不是一份一次完成的合規清單，而是一套能持續辨識、評估及降低風險的能力。
金管會於 2026 年 8 月 4 日宣布，虛擬資產「轉帳規則」（Travel Rule）將分兩階段上路。第一階段預計自 2026 年 10 月起，先適用於臺灣境內 VASP 之間的虛擬資產移轉；若單筆金額超過新臺幣 3 萬元，匯款人為自然人時，除既有身分資訊外，還須提供出生日期及住所地址，接收款項的 VASP 也須完成資料核對，以提高交易透明度與可追溯性；第二階段預計於 2027 年底，進一步擴及境內與境外 VASP 之間的跨境移轉。
這項制度代表臺灣虛擬資產監管正從業者登記及內控制度，進一步延伸至交易資訊的傳遞、核對與保存。對業者而言，未來不只要完成法規要求，也必須具備身分驗證、資料治理、系統串接及持續風險控管能力，確保轉帳資訊能在不同平台之間準確、安全地流通。
合規是起點，能否在安全、成本及使用者體驗之間做出可持續的選擇，才是《虛擬資產服務法》逐步落地後，VASP 業者能否長期經營的真正考驗。
文/ Carlos
※ 本文為受訪者個人觀點，不構成投資建議。
關於 XREX 集團
創立於 2018 年，XREX 集團是一家擁有區塊鏈技術的國際金融機構，與銀行、政府及用戶密切合作，共同改寫金融定義。
XREX 集團臺灣子公司鏈科股份有限公司營運 XREX 交易所，於 2022 年 3 月，完成與臺灣金融監督管理委員會 (金管會) 的洗錢防制法令遵循聲明，並於 2025 年 9 月 22 日完成金管會的洗錢防制登記，為完成的八家合規虛擬資產服務商之一；新加坡子公司於 2024 年 5 月取得新加坡金融管理局 (MAS) 大型支付機構 (MPI) 執照。
XREX 集團將普惠金融視為社會責任，持續運用區塊鏈技術推進金融參與權、金融使用權與金融教育權，並推出 XREX Academy 區塊鏈與虛擬資產系統化教育課程。
