Institutional custody

假设一家公司持有10 BTC，财务经理雅娜登录托管方的平台，看到余额，也能提交转账申请。这不代表她能自行签署交易。签名需要私钥，也就是生成有效签名所需的秘密数据。钱包处理这些密钥；比特币记录在网络中，并不是放在登录账户里面。这里讨论的是外部托管服务。采用self-custody时，组织需要自行安排密钥控制。雅娜想把资金转出时，两者的实际区别就会显现。 [2]

除了密钥，公司还需要理解自身权利。交付10 BTC供对方保管，与借出10 BTC给托管方，是不同的关系：借贷产生还款义务，托管的目标则是保全客户资产。纽约州金融监管机构NYDFS在2025年9月30日的指引中提供了具体例子。对于适用范围内的服务商，它要求相关安排保留客户的财产权益，不因托管本身建立债权债务关系。这是特定司法管辖范围的监管要求。网站写着custody，并不能解决各地所有法律问题，也不能预先决定破产程序的结果。托管方无法履行债务时，可能进入这样的程序。 [1]

托管方可以把客户资金放在共用钱包，即omnibus钱包中。这时，内部账目必须区分各客户的权利。另举一个不计费用的例子：客户A有6 BTC，客户B有4 BTC，合计10 BTC。A提取2 BTC后，账目应显示A有4 BTC、B有4 BTC，总额8 BTC。仅在网络上看到八枚比特币，并不能证明各部分属于谁。因此，NYDFS的指引同时关注链上和内部账目中客户资产与托管方自有资产的隔离，以及可追溯的客户资金变动。Omnibus安排不意味着可以不加保护地将客户资产与公司的经营资金混用。 [1]

公司可以规定，3名获授权人员中须有2人同意。在正常流程下，雅娜因此需要一位同事批准。Coinbase Prime就是提供可配置批准规则的服务实例。企业权限决定谁能通过应用发出指令；仅凭批准人数，不能判断私钥如何分配。链上Multisig 2-of-3则是一项由比特币交易规则执行的签名条件，需要来自指定三个密钥集合的两个有效签名。企业权限和这项密码学条件属于不同层面。评估保护措施时，还需要查看谁能更改批准规则，以及更改如何经过核验。 [3]

离线保存密钥可以降低部分互联网风险。但唯一审批人患病或离职时，Cold Storage并不会自动提供替代人员。美国证券交易委员会SEC在教育性公告中区分在线（hot）与离线（cold）存储，也提醒设备可能丢失或损坏。恢复技术访问能力，与取得放行转账的权限，是两个不同的问题。因此，有意义的演练需要覆盖两方面：托管方有恢复流程，公司也有能够到位、权限适当的替代人员。核验安全性不需要公开私钥或Seed Phrase；后者是用于恢复钱包的一组词。 [2]

公司熟悉的服务背后，可能还涉及另一家服务商。这称为subcustody，即转托管：客户与托管方A打交道，而托管方B承担部分保管工作。两个品牌都依赖同一家B，本身并不能证明托管相互独立。它们的密钥或系统可能分开，但共同服务商仍带来需要了解的共同依赖。NYDFS于2025年更新的指引，要求适用实体在建立新的转托管安排前获得监管批准。指引也涉及下一层托管方的客户资产保护与客户信息披露。公司需要理解整个链条，包括谁负责归还资产。 [1]

美国FDIC承保符合条件的银行存款，不承保加密资产本身；投保银行提供比特币服务，也不会因此把比特币变成受保存款。托管方的商业保险是另一回事。纯粹假设一笔受保损失为800万美元（USD），免赔额即保险公司不承担的部分为100万美元，剩余赔付上限为500万美元。扣除免赔额后是700万美元，但受上限约束，最多赔付500万美元：min(8−1,5)=5，所有数字均以百万美元计。min表示取两个金额中较小的一个。某种损失如果属于除外责任，可能完全不赔。谁是被保险人、赔款付给谁，也很重要。托管方公布的总保额，并不自动等于为每名客户单独预留的金额。 [2] [4]

在同一天、同一时区，雅娜于09:00提出申请，同事于11:00批准，托管方于12:00向网络广播交易。此时距申请已过3小时，距批准则是1小时。因此，合同约定的时限必须说明从何时起算、什么算完成。接收指令、广播交易和交易在区块链上获得确认，是不同阶段。确认意味着交易进入区块；后续区块会增加确认次数。试提还需要核验正确网络、完整目标地址和费用。一笔小额转账成功，只能说明流程今天如何运行，不能保证服务今后的可用性。 [2] [3]