بورصة عملات رقمية خاصة بك: كيف تحفظ أموال العملاء في محافظ ساخنة وباردة، وتتحقق من السحوبات، وتلتزم بقواعد الاتحاد الأوروبي

قرّر كيف ستُحفظ أموال العملاء قبل أن تصمّم شاشة التداول. احتفظ بمعظم العملات الرقمية لعملائك في محافظ باردة لا تقترب مفاتيحها من أي حاسوب متصل بالإنترنت، واشترط موافقة عدة أشخاص على كل تحويل يخرج منها. وتدفع محفظة ساخنة صغيرة السحوبات اليومية، وتُعاد تعبئتها من التخزين البارد بتحويلات مخطّطة لها حدّ أقصى. ويمرّ كل سحب بفحوص قبل أن يوقّعه أي أحد. وفي الاتحاد الأوروبي تحتاج البورصة أيضًا إلى ترخيص بموجب لائحة MiCA، وعليها أن ترسل بيانات المرسِل والمستلِم مع التحويلات.

ما الذي تحتاجه بورصة العملات الرقمية إلى جانب محرّك المطابقة؟

يطابق محرّك المطابقة بين أوامر الشراء وأوامر البيع. وحوله تشغّل البورصة عدة أنظمة أخرى:

• سجلّ داخلي يدوّن كمية كل عملة يملكها كل عميل، ويتغيّر مع كل صفقة وإيداع وسحب
• معالجة الإيداعات: عنوان لكل عميل، وبرنامج يراقب كل سلسلة كتل ويقيّد الإيداع حين يحصل على عدد كافٍ من التأكيدات
• المحافظ التي تحفظ العملات نفسها: الساخنة والدافئة والباردة، وسيأتي شرحها أدناه
• معالجة السحوبات: الفحوص، والتوقيع، وإرسال كل تحويل إلى الشبكة
• فحوص الهوية ومكافحة غسل الأموال على العملاء وعلى العناوين التي يرسلون إليها ويستلمون منها

الصفقة بين عميلين لا تغيّر إلا السجل الداخلي. ولا تتحرك العملات على سلسلة الكتل إلا حين يودع عميل أو يسحب. لذلك يجب أن تغطي العملات الموجودة في عناوين البورصة ما يقول السجل إن العملاء يملكونه. اسأل الجهة التي تبني البورصة كيف تجري هذه المقارنة كل يوم، وماذا يحدث حين لا تتطابق الأرقام.

كم ينبغي أن يبقى في المحافظ الساخنة، وكم في الباردة؟

تحفظ المحفظة الساخنة مفاتيحها على خادم متصل بالإنترنت، ولذلك تستطيع توقيع السحوبات دون تدخل شخص. وهذه السرعة هي خطرها أيضًا: فمن يستولي على الخادم يستطيع التوقيع كذلك. أما المحفظة الباردة فتحفظ مفاتيحها دون اتصال، وعادةً يحتاج التحويل منها إلى موافقة عدة أشخاص. وتقع المحفظة الدافئة بين الاثنتين: ففي إعداد شائع تكون متصلة، لكن شخصًا يوافق على كل تحويل.

احتفظ في المحفظة الساخنة بما يحتاجه يوم عادي من السحوبات فقط، وأعد تعبئتها من التخزين البارد بتحويلات مخطّطة لها حدّ أقصى ثابت. ولا توجد نسبة تناسب كل البورصات. فهي تعتمد على حجم ما يسحبه العملاء وعلى السرعة التي ينتظرون بها عملاتهم، لذلك اطلب من الجهة التي تبني البورصة أن تحسبها من الأحجام التي تتوقعها أنت.

لائحة MiCA هي لائحة الاتحاد الأوروبي بشأن الأصول المشفّرة: اللائحة (الاتحاد الأوروبي) 2023/1114، وقد اطّلعنا عليها في 27 أكتوبر 2026 مثل باقي مصادر هذه المقالة. وهي تحدد الهدف وتترك الطريقة للشركة. وتطلب المادة 75 منها من الشركة التي تحفظ الأصول المشفّرة لعملائها أن تضع سياسة للحفظ. ويجب أن «تقلّل هذه السياسة إلى أدنى حد خطر فقدان الأصول المشفّرة للعملاء أو الحقوق المرتبطة بتلك الأصول المشفّرة أو وسائل الوصول إلى الأصول المشفّرة بسبب الاحتيال أو التهديدات السيبرانية أو الإهمال». وتشترط المادة نفسها أن «تُحفظ الأصول المشفّرة لعملائها على دفتر الأستاذ الموزّع منفصلة عن أصولها المشفّرة الخاصة». لذلك تكون عملات البورصة الخاصة وعملات عملائها في عناوين مختلفة.

ماذا كشفت سرقة Bybit عن المحافظ الباردة؟

في 21 فبراير 2025 أجرت بورصة العملات الرقمية Bybit ما سمّته «تحويلًا روتينيًا من إحدى محافظنا الباردة متعددة التوقيعات على Ethereum إلى محفظة دافئة». والمحفظة متعددة التوقيعات تحتاج إلى عدة مفاتيح للموافقة على التحويل. وقد وقّع الموافقون ما بدا تحويلًا عاديًا، لكن المعاملة غيّرت منطق المحفظة نفسها وسلّمت السيطرة عليها للمهاجمين. وقدّرت Bybit الخسارة بـ 1.46 مليار دولار. وقدّرها مكتب التحقيقات الفيدرالي (FBI) بنحو 1.5 مليار دولار، وقال إن كوريا الشمالية هي المسؤولة.

ويستشهد الجدول الزمني الذي نشرته Bybit للحادثة بتقارير أولية من Sygnia Labs وVerichains. وقد أشارت هذه التقارير إلى «شيفرة JavaScript خبيثة على منصة Safe{Wallet}»، وهي الخدمة الخارجية التي استخدمها الموقّعون، ولم تجد أي ثغرة في البنية التحتية الخاصة بـ Bybit. ولم توقف الموافقات السرقة، لأن ما عُرض على الموقّعين لم يكن ما وقّعوه فعلًا.

بالنسبة إلى بورصة جديدة، يتعلق الدرس بطريقة عمل الموافقات، لا بعددها فقط:

• يتحقق كل موافِق من تفاصيل التحويل على جهاز لا تتحكم فيه واجهة الويب، مثل شاشة جهاز توقيع مادي
• للتحويل من التخزين البارد حدّ أقصى، فلا تستطيع معاملة واحدة موافَق عليها أن تفرغ محفظة كاملة
• هناك من يراقب المحافظ الباردة على مدار الساعة ويستطيع إيقاف السحوبات مؤقتًا

كيف ينبغي التحقق من السحب قبل توقيعه؟

يجب أن يمرّ طلب السحب بفحوص برمجية قبل أن يوقّعه أي مفتاح:

• رصيد العميل في السجل الداخلي يغطي المبلغ ورسوم الشبكة
• المبلغ ضمن الحد اليومي للعميل وضمن حد التحويل الواحد
• العنوان موجود في قائمة العناوين المحفوظة للعميل، أو تنطبق فترة انتظار على العنوان الجديد
• العنوان مفحوص مقابل قوائم العناوين الخاضعة للعقوبات والعناوين عالية المخاطر
• البيانات التي تشترطها قواعد التحويل جُمعت وأُرسلت مع التحويل

يمكن للمحفظة الساخنة أن توقّع تلقائيًا السحوبات الصغيرة التي تجتاز كل الفحوص. أما الكبيرة فتذهب إلى أشخاص يوافقون عليها من المحفظة الدافئة أو الباردة. وبعد إرسال التحويل ينتظر النظام التأكيدات على الشبكة، ثم يسجّل السحب مكتملًا في السجل الداخلي.

ماذا تشترط قاعدة Travel Rule في الاتحاد الأوروبي على البورصة؟

اللائحة (الاتحاد الأوروبي) 2023/1113، التي تُسمّى غالبًا Travel Rule، تُطبَّق «اعتبارًا من 30 ديسمبر 2024». وهي تُلزم بورصة العميل الذي يرسل العملات الرقمية بأن تنقل بيانات الطرفين. فبالنسبة إلى المرسِل تشمل البيانات «اسم المُصدِر» وعنوان المرسِل على سلسلة الكتل ورقم حسابه. وتشمل أيضًا «عنوان المُصدِر، بما في ذلك اسم البلد ورقم الوثيقة الشخصية الرسمية ورقم تعريف العميل، أو بدلًا من ذلك تاريخ ميلاد المُصدِر ومكانه». وبالنسبة إلى المستلِم تشمل الاسم وعنوانه على سلسلة الكتل ورقم الحساب.

يجب إرسال البيانات «قبل تحويل الأصول المشفّرة أو بالتزامن معه أو في الوقت نفسه»، لكن لا يلزم أن تُدرج في معاملة سلسلة الكتل نفسها. وتنقل البورصات هذه البيانات فيما بينها عبر خدمات مراسلة منفصلة، لذلك على الجهة التي تبني بورصتك أن تربطها بهذه الخدمات.

وللسحوبات إلى محفظة يتحكم فيها العميل بنفسه، وتسمّيها اللائحة عنوانًا مستضافًا ذاتيًا، قاعدة إضافية. فهي تشمل «تحويل مبلغ يزيد على 1000 يورو إلى عنوان مستضاف ذاتيًا». وفي مثل هذا التحويل يجب على البورصة أن «تتخذ تدابير مناسبة لتقييم ما إذا كان ذلك العنوان مملوكًا للمُصدِر أو خاضعًا لسيطرته». والطريقة الشائعة أن يُطلب من العميل إثبات سيطرته على العنوان، مثلًا بتوقيع رسالة قصيرة به.

ما الترخيص الذي تحتاجه بورصة العملات الرقمية في الاتحاد الأوروبي؟

بموجب لائحة MiCA يُعدّ تشغيل منصة تداول للأصول المشفّرة خدمةً من خدمات الأصول المشفّرة، وتحتاج الشركة إلى ترخيص بوصفها مزوّد خدمات أصول مشفّرة. وتقع هذه الخدمة في أعلى فئات رأس المال الثلاث في الملحق IV من اللائحة، والحد الأدنى لرأس المال المطلوب فيها 150 000 يورو.

وكان بوسع الشركات التي قدّمت مثل هذه الخدمات بموجب القانون الوطني قبل 30 ديسمبر 2024 أن تواصل عملها في ظل نظام انتقالي. وقد امتد هذا النظام «حتى 1 يوليو 2026 أو إلى أن يُمنح لها الترخيص أو يُرفض»، أيهما أسبق. وقد مضى هذا التاريخ. لذلك ينبغي للبورصة التي تريد عملاء في الاتحاد الأوروبي أن تخطّط للترخيص منذ البداية.

وتؤثر لائحة MiCA أيضًا في البرمجيات. فالمادة 75 تشترط:

• اتفاقية حفظ مع كل عميل
• سجلًّا لمراكز كل عميل
• كشفًا بالمراكز «مرة واحدة على الأقل كل ثلاثة أشهر»
• إجراءات لإعادة الأصول المشفّرة إلى العملاء «في أقرب وقت ممكن»

والشركة مسؤولة عن الخسائر الناجمة عن حوادث تُنسب إليها، على أن تكون هذه المسؤولية «محدودة بالقيمة السوقية للأصل المشفّر المفقود وقت وقوع الفقدان». وتضيف المادة 70 قاعدة بشأن أموال العملاء باليورو أو بعملات أخرى. فما لم تكن الشركة نفسها بنكًا أو مؤسسة دفع أو مؤسسة نقود إلكترونية، يجب إيداع هذه الأموال «لدى مؤسسة ائتمانية أو بنك مركزي» قبل نهاية يوم العمل التالي.

وخارج الاتحاد الأوروبي تختلف القواعد من بلد إلى آخر، وهذه المقالة ليست استشارة قانونية. استشر محاميًا في كل سوق تنوي خدمته قبل أن تقرر أين تسجّل شركتك.

محافظ خاصة بك أم مزوّد حفظ؟

هناك ثلاثة إعدادات شائعة:

• محافظ خاصة: تتحكم في كل خطوة وكل تكلفة، وتتحمل وحدك كل المخاطر والتدقيقات والأشخاص الذين يحرسون المفاتيح
• مزوّد حفظ: حفظ المفاتيح والتوقيع من صميم عمله، لكن كل سحب يعتمد على أنظمته ورسومه
• الاثنان معًا: محافظ ساخنة داخلية من أجل السرعة، وتخزين بارد لدى مزوّد لمعظم أموال العملاء

بموجب لائحة MiCA يجب أن يكون المزوّد الذي يحفظ الأصول المشفّرة للعملاء نيابةً عن البورصة مرخّصًا هو نفسه. فالمادة 75 لا تسمح للشركة بأن تستعين إلا بمزوّدين «مرخّصين وفقًا للمادة 59»، وعلى الشركة أن تُعلم عملاءها بأنها تستعين بأحدهم.

ومع بورصة العلامة البيضاء، اسأل عن الإعداد الذي يستخدمه المزوّد ومن يحتفظ بالمفاتيح. فإن كان المزوّد هو من يحتفظ بها، فعملات عملائك معلّقة بشركة لا تتحكم فيها.

ماذا تسأل الشركة التي تبني محافظ البورصة؟

• أين تُنشأ المفاتيح وأين تُحفظ، وكم شخصًا يوافق على التحويل من كل محفظة؟
• كيف يتحقق كل موافِق مما يوقّعه دون الاعتماد على واجهة الويب؟
• كيف يُقارن السجل الداخلي بالأرصدة على كل سلسلة كتل، وكم مرة؟
• ماذا يحدث لأرصدة العملاء حين تنقسم سلسلة كتل أو يُستبدل رمز بنسخة جديدة؟
• كيف تصل بيانات Travel Rule إلى البورصات الأخرى، وماذا يحدث حين تكون ناقصة؟
• هل تستطيعون عرض مسار السحب في نظام يعمل اليوم؟

السؤال عن انقسام سلاسل الكتل مهم بسبب لائحة MiCA. فللعملاء حق في أي أصول مشفّرة جديدة تنشأ عن مثل هذا التغيير، بنسبة مراكزهم، ما لم تنص اتفاقيتهم مع البورصة على غير ذلك.

أين موقع amBrain من ذلك؟

تصف amBrain، التي تنشر هذه المدونة، هذا الجزء من عملها في سطر واحد: «تبني amBrain بورصات العملات الرقمية: محرك المطابقة، والمحافظ، والإيداعات والسحوبات». وتبني amBrain البرمجيات منذ عام 2019، وتعمل بثلاث صيغ: تسليم كامل، أو فريق مخصّص، أو مهندسون مدمجون في فريقك. أما في الملكية فسطرها هو: «يحتفظ العميل بالملكية الكاملة للمنتج وللكود، باستثناء مكوّناتنا القابلة لإعادة الاستخدام».

هذه المقالة ليست دراسة حالة، ولا تصف أي عمل لعميل. فهي لا تقول أي بورصات بنتها amBrain، ولا لمن، ولا كيف أُعدّت محافظها، ولا تذكر أسعارًا أو جداول زمنية. وهي ليست استشارة قانونية كذلك. وإن كانت amBrain في قائمتك المختصرة، فأعطها الأسئلة نفسها التي تعطيها لأي شركة أخرى.