加密货币交易所 KYC 与合规：2026 年到底变了什么

目录

• 灰色地带已经消失
• MiCA 不再是“即将到来”，它已经落地并开始执法
• 旅行规则：理论与现实的碰撞
• 真正有效的 KYC 分级体系
• AML 监控：监管机构真正关注什么
• 各司法辖区对比：2026 年现状
• 合规技术栈：你的交易所软件需要什么
• 导致交易所被关停的常见合规错误
• 成本账：合规与不合规
• 未来走向

KYC 是四大合规支柱之一——合规要求指南涵盖了全部四大支柱以及落实这些要求的控制措施。

灰色地带已经消失

两年前，交易所运营者还可以争论某些合规要求是否适用于自己。这场争论已经结束了。如今每个主要司法辖区都针对加密资产服务提供商制定了明确的规则，并配备了相应的执法预算。

我们目睹了这一转变先渐进、后骤变的过程。2024 年，MiCA 还在逐步推进。到 2025 年年中，执法行动开始砸向那些没有适应的交易所。现在，2026 年初，欧盟、阿联酋、新加坡以及美国大部分地区都已进入全面监管的环境。五年前还管用的“在这里注册、在那里装聋作哑”的拼凑策略，今天只会让你被关停。

真正发生变化的是：监管机构之间的协作能力提升了。FATF 的互评机制倒逼行动滞后的国家采取行动。欧盟的 MiCA 框架为其他司法辖区提供了范本。更关键的是，识别不合规交易所的工具升级了。Chainalysis 和 Elliptic 等区块链分析公司现在为监管机构提供实时仪表盘，展示哪些交易所在路由可疑交易。你再也无法靠不透明来藏身。

这对交易所运营者至关重要，因为事后补救合规的成本是从一开始就做对的 5 到 10 倍。我们合作过的一家东南亚交易所花了 34 万美元来清理合规问题，而当初预防这些问题只需 4.5 万美元。这不是个例——而是常态。

下面我们就逐辖区、逐法规梳理你真正需要了解的内容。

MiCA 不再是“即将到来”，它已经落地并开始执法

《加密资产市场法规》（MiCA）已于 2025 年年中在欧盟全部 27 个成员国进入全面执法阶段。那个被所有人一再拖延的过渡期？它已经结束了。如果你在未取得 CASP（加密资产服务提供商）授权的情况下服务欧盟客户，你就是在非法经营。

MiCA 执法在实践中是什么样子的：

各国主管机构——法国的 AMF、德国的 BaFin、西班牙的 CNMV——正在积极审计已注册的 CASP，并追查未注册的机构。仅 2025 年第四季度，法国就发出了 14 份执法通知，针对未经授权运营的交易所。德国的动作更加激进，BaFin 封锁了六家服务德国用户的离岸交易所域名。

MiCA 真正的杀伤力来自银行端。欧洲银行现在必须核实与其合作的加密企业持有有效的 CASP 授权。如果你的交易所因为无法证明合规而失去银行合作关系，你就完了。法币出入金通道是任何服务零售用户的交易所的生命线。

MiCA 下的具体 KYC 要求：

• 任何交易之前必须完成客户身份识别（不再有小额匿名交易的豁免空间）
• 对客户活动和交易模式进行持续监控
• 对超过 1,000 欧元的交易进行强化尽职调查
• 对所有客户进行政治公众人物（PEP）筛查
• 对超过 15,000 欧元的充值进行资金来源核实
• 所有 KYC 数据在客户关系结束后至少保存 5 年

1,000 欧元的强化尽职调查门槛让很多运营者措手不及。这个门槛并不高。大多数活跃交易者在第一周就会超过它。你需要能够平滑处理分级验证的系统，既不能制造太多摩擦导致用户在注册过程中流失。

运营者对 MiCA 的常见误解：

最大的误解是认为 MiCA 只是拿到牌照就完事了。不是的。MiCA 是一项持续的合规义务。你需要定期向本国主管机构提交报告、维持资本充足率、持续更新合规政策，并在规定时限内回应监管问询。拿到牌照只是开始，而不是结束。

旅行规则：理论与现实的碰撞

FATF 第 16 条建议，通常称为“旅行规则”（Travel Rule），要求当加密货币在交易所（或任何虚拟资产服务提供商）之间转移时，汇款人和收款人的个人信息必须随交易一起传输。姓名、账号、地址、出生日期——所有这些信息都需要从发送方 VASP 传递给接收方 VASP。

理论上，这听起来很简单。实践中，它一直是整个行业的实施噩梦。以下是 2026 年的现状。

消息传输层的问题基本解决了。 多个旅行规则消息协议已经获得广泛应用：TRISA、OpenVASP 和 Notabene 的商业方案是三大主流。大多数主流交易所现在至少支持其中一个。曾在 2024–2025 年困扰行业的协议间互操作性问题，已通过桥接方案基本解决，尽管还不算完美。

门槛因辖区而异。 这才是麻烦所在：

• 欧盟（依据 MiCA《资金转移条例》）：0 欧元——所有转账无论金额大小，都必须携带汇款人/收款人数据
• 美国（FinCEN）：涉及金融机构的转账门槛为 3,000 美元
• 新加坡（MAS）：1,500 新元（约合 1,100 美元）
• 日本（FSA）：0 日元——所有转账，无门槛
• 阿联酋（VARA）：3,500 迪拉姆（约合 950 美元）
• 瑞士（FINMA）：1,000 瑞郎

欧盟的零门槛要求是全球最严格的，迫使所有服务欧洲用户的交易所对每笔转出转账都实施旅行规则合规。这意味着即使是一笔 10 欧元转到另一家交易所的转账，也需要完成完整的数据握手。

这对你的技术栈意味着什么：

你的交易所软件必须集成旅行规则。没有商量余地。你需要能够：

1. 识别一笔转出加密货币是流向另一家 VASP（还是个人钱包）
2. 收集并向对手方 VASP 传输汇款人信息
3. 针对转入转账，接收并核实来自对手方 VASP 的收款人信息
4. 标记对手方 VASP 未响应或无法核实的转账
5. 保存所有旅行规则消息记录以备审计

VASP 对 VASP 转账与转往个人钱包（非托管钱包）之间的区别很重要。欧盟《资金转移条例》对非托管钱包转账有不同的处理方式——超过 1,000 欧元的转账，你需要核实该钱包属于你的客户，但不需要完成完整的旅行规则数据交换。

如果你的交易所平台没有内置旅行规则支持，你要么做定制集成（昂贵，需要 3–6 个月开发），要么换成原生包含该功能的平台。

真正有效的 KYC 分级体系

并非每个用户都需要相同级别的验证。分级 KYC 体系让你在监管要求和用户体验之间取得平衡。以下是我们在数百个交易所部署中看到的最佳实践。

0 级——仅浏览（无需验证）

用户可以浏览平台、查看价格、了解市场。不能交易、不能充值、不能提现。这一级纯粹为获客而存在——先让用户随便看看，再要求他们交出个人证件。设计良好的交易所从 0 级到 1 级的转化率通常在 35%–50%。

1 级——基础验证

• 邮箱和手机验证
• 法定全名
• 出生日期
• 居住国家/地区
• 限额：通常每日交易额 1,000–2,000 美元，每月 5,000–10,000 美元

这是面向休闲用户的主力级别——那些只想买点加密货币并持有的用户。它在满足大多数辖区基础 CDD（客户尽职调查）要求的同时，把摩擦保持在低位。借助优秀的 KYC 服务商，1 级验证两分钟内即可完成。

2 级——标准验证

• 政府签发的带照片证件（护照、国民身份证、驾照）
• 活体检测（自拍或视频，确认持证人就是证件照片中的人）
• 地址验证（3 个月内出具的水电费账单、银行对账单或政府文件）
• 限额：每日 10,000–50,000 美元，每月 100,000–500,000 美元

2 级是大多数活跃交易者所在的级别。证件加活体检测的组合现已成为行业标准。像 Sumsub 这样的服务商通过 AI 驱动的证件验证在 30–60 秒内完成这一流程，误拒率自 2024 年以来已大幅下降。Codono 等现代化平台通过其 KYC/AML 系统预集成了 Sumsub，把实施工作从数周缩短到数小时。

3 级——强化验证

• 2 级的全部内容
• 资金来源证明（工资单、纳税申报、企业经营文件）
• 财富来源声明
• 强化的持续监控
• 限额：每日 100,000 美元以上，每月 1,000,000 美元以上，或不限额

3 级面向大户和机构用户。这些是你价值最高的客户，他们期待专业的开户体验。许多交易所会为这一级别配备专属客户经理。资金来源要求是摩擦最多的环节——你需要一套清晰的文件审核流程和合理的处理时限（最长 48 小时，最好当天完成）。

**关键原则：**让升级流程顺滑。当 1 级用户触及限额时，应该在他们碰壁的那一刻就地提示升级到 2 级。别让他们去设置菜单里翻找。升级流程越顺畅，你因验证放弃而损失的收入就越少。

AML 监控：监管机构真正关注什么

KYC 吸引了所有注意力，但 AML（反洗钱）监控才是监管机构检查时关注的焦点。扎实的 KYC 流程只是入场券。区分合规与不合规交易所的，是开户之后发生的事情。

你需要的交易监控规则：

监管机构期望你至少对以下模式进行自动化监控：

• **化整为零（smurfing）：**多笔刚好低于报告门槛的充值。如果你的报告门槛是 10,000 美元，某用户三天内充了五笔 9,500 美元，就应该触发警报。
• **快进快出：**充值后立即提现且不交易。这是典型的洗钱模式——把交易所当作混币层使用，没有任何真实交易活动。
• **长期沉寂后突然大额活动：**一个闲置数月的账户突然产生 50,000 美元的交易量。可能是合法的，但必须标记并审核。
• **对手方风险：**与已知非法活动相关联的钱包之间的转账。这需要区块链分析集成——Chainalysis、Elliptic 或 Crystal 是主要服务商。
• **地域风险：**涉及高风险司法辖区的交易（FATF 灰名单或黑名单国家）。你需要国家级别的风险评分。
• **行为异常：**与用户申报画像不一致的交易模式。一个申报用途为“休闲投资”却每天执行 200 笔交易的用户，需要再看一眼。

可疑活动报告（SAR）：

每个辖区都要求交易所在发现可能涉及洗钱、恐怖融资或其他金融犯罪的活动时提交 SAR。具体申报要求各不相同：

• 美国：发现后 30 天内向 FinCEN 提交
• 欧盟（MiCA）：向本国金融情报机构（FIU）“毫不迟延”地提交——实践中意味着 24–48 小时内
• 新加坡：在合理可行的情况下尽快向可疑交易报告办公室（STRO）提交
• 阿联酋：2 个工作日之内向金融情报机构提交

你需要一名合规官（或合规服务）来评估警报、判断是否需要提交 SAR，并正确完成申报。这不是可选项，做错了会有后果。2025 年，多家交易所因延迟或未提交 SAR 而收到大额罚单。

记录保存：

全部保留。交易记录、KYC 文件、沟通日志、SAR 申报记录、内部调查笔记。大多数辖区要求保存 5–7 年。有些辖区（如美国）在特定情况下要求更久。宁可多存，不要少存。

各司法辖区对比：2026 年现状

监管版图已经发生了显著变化。以下是各主要辖区当前要求的快照：

欧盟（MiCA）

• 牌照：任一欧盟成员国颁发的 CASP 授权（可在全部 27 国通行）
• KYC：所有用户完整验证，无匿名豁免门槛
• AML：第六号反洗钱指令要求，外加 MiCA 特定义务
• 旅行规则：零门槛，覆盖所有 VASP 转账
• 资本要求：视服务类型 50,000–150,000 欧元
• 合规成本：初期 30,000–100,000 欧元，持续每月 5,000–15,000 欧元
• 执法态势：激进且不断加码

美国

• 牌照：联邦 MSB 注册 + 逐州货币传输牌照（50 个州）
• KYC：BSA/AML 要求、客户身份识别计划（CIP）
• AML：BSA 合规、向 FinCEN 提交 SAR、超过 10,000 美元交易需提交现金交易报告（CTR）
• 旅行规则：涉及金融机构的转账门槛 3,000 美元
• 资本要求：因州而异（0 到 500 万美元——纽约州是极端值）
• 合规成本：有意义的覆盖初期 100,000–500,000 美元，持续每月 10,000–30,000 美元
• 执法态势：SEC 在代币定性上咄咄逼人，FinCEN 聚焦 AML 合规

阿联酋（VARA——迪拜）

• 牌照：VARA 虚拟资产服务提供商牌照
• KYC：分级验证，超过 40,000 迪拉姆需强化尽职调查
• AML：联邦反洗钱法要求，与 FATF 标准对齐
• 旅行规则：3,500 迪拉姆门槛
• 资本要求：视牌照类别 150,000–600,000 迪拉姆
• 合规成本：初期 15,000–50,000 美元，持续每月 3,000–8,000 美元
• 执法态势：温和但趋严——VARA 自 2025 年底以来动作频繁

新加坡（MAS）

• 牌照：《支付服务法》下的大型支付机构（MPI）牌照
• KYC：所有账户完整 CDD，高风险类别需强化尽职调查
• AML：MAS 通告 PSN02 要求，与 FATF 标准对齐
• 旅行规则：1,500 新元门槛
• 资本要求：250,000 新元
• 合规成本：初期 50,000–100,000 美元，持续每月 8,000–20,000 美元
• 执法态势：严谨且严格——MAS 发牌不多，但对已发牌照非常较真

香港（SFC/HKMA）

• 牌照：证监会颁发的 VATP 牌照
• KYC：完整验证，零售准入需额外保障措施
• AML：《打击洗钱条例》（AMLO）要求，与 FATF 标准对齐
• 旅行规则：所有转账零门槛
• 资本要求：5,000,000 港元
• 合规成本：初期 80,000–200,000 美元，持续每月 15,000–30,000 美元
• 执法态势：有选择性但严肃——截至 2025 年香港仅批准了少数几家交易所

土耳其

• 牌照：资本市场委员会（CMB）依据新加密资产法颁发的授权（2025 年年中生效）
• KYC：强制国民身份验证，分级限额
• AML：MASAK（金融犯罪调查委员会）要求
• 旅行规则：实施中，门槛待最终法规确定
• 资本要求：50,000,000 土耳其里拉（约合 150 万美元）
• 合规成本：初期 20,000–60,000 美元，持续每月 5,000–10,000 美元
• 执法态势：新框架，执法力度迅速建立中

趋势很明确：成本在上升，要求在向 FATF 标准收敛，每个辖区都在收紧。2022–2023 年那种廉价宽松的辖区已经不存在了。

合规技术栈：你的交易所软件需要什么

你的合规义务的强度取决于执行它们的技术。人工合规流程无法规模化。如果你还在手工审核 KYC 文件、用电子表格监控交易，你一定会漏掉问题，而监管机构一定会发现。

以下是 2026 年一家合规交易所所需的最低技术栈：

身份验证（KYC）

• 证件验证（护照、身份证、驾照），支持 OCR 和 AI 驱动校验
• 活体检测（防欺诈攻击）
• 人脸比对（自拍照与证件照片比对）
• PEP 和制裁名单筛查
• 负面媒体筛查
• 持续监控（基于风险级别定期重新验证）

这个不要自己造。集成专业服务商。Sumsub、Jumio、Onfido 和 Veriff 是头部玩家。如果你的交易所平台原生支持，集成工作量极小——例如 Codono 自带 Sumsub 集成和内置合规仪表盘，开箱即用即可处理验证工作流、风险评分和审计追踪。

交易监控（AML）

• 用于标记可疑模式的实时规则引擎
• 区块链分析集成（Chainalysis KYT、Elliptic Lens 或 Crystal）
• 带调查工作流的警报队列
• SAR 生成与申报支持
• 基于行为和画像的用户级风险评分

旅行规则合规

• TRISA、OpenVASP 或 Notabene 集成
• 对手方 VASP 识别
• 汇款人/收款人数据交换
• 非托管钱包识别与核实

制裁筛查

• 针对 OFAC SDN 名单、欧盟制裁名单和联合国综合名单的实时钱包筛查
• 自动拦截受制裁地址
• 定期名单更新（至少每日一次）

审计与报告

• 所有合规操作的完整审计追踪
• 自动化监管报告（CTR、SAR、定期申报）
• 满足 5–7 年要求的数据留存系统
• 支持监管检查的数据导出能力

如果你在评估交易所软件，合规工具应该排在选型标准的前列。内置 KYC/AML 基础设施的平台能为你省去数月的集成工作，并降低合规缺口风险。从零构建这些集成是可行的，但代价高昂——预算 50,000–150,000 美元和 4–8 个月的开发时间。

导致交易所被关停的常见合规错误

同样的错误我们见过一次又一次地击沉交易所。其中大多数是可以避免的。

1. 把 KYC 当成一次性事件。

开户时验证只是第一步。不是全部。持续监控意味着定期重新验证（标准风险用户每年一次，高风险用户每 6 个月一次）、持续的交易监控，以及在名单更新时重新进行 PEP/制裁筛查。欧盟监管机构特别把“缺乏持续尽职调查”列为 CASP 审计中的首要发现。

2. 无视地域限制。

你的服务条款写了不服务受制裁国家。很好。但你真的在执行吗？仅靠 IP 封锁是不够的——VPN 让它形同虚设。你需要交叉比对用户申报的国家、证件验证的国籍、IP 地理位置和交易模式。2025 年，一家交易所因在服务条款中写有全面地域限制却仍然服务伊朗用户，被罚款 120 万美元。

3. 合规人员配置不足。

一个月处理 1,000 万美元的交易所只配一名兼职合规人员是行不通的。经验法则：每月交易量每 2,500 万–5,000 万美元，至少需要一名专职合规人员。对较小的交易所，兼职合规官加自动化工具可以行得通，但每天必须有人审核警报并做出 SAR 申报决策。

4. 没有书面流程。

如果你的合规流程只存在于员工的脑子里而不是书面文件中，你就是脆弱的。监管机构要看书面的 KYC 流程、AML 监控规则文档、升级上报机制、SAR 申报流程和员工培训记录。当监管者说“出示你的流程”时，你需要递上一份文件，而不是口头解释。

5. 延迟提交 SAR。

这一条会让交易所陷入严重麻烦。一旦发现可疑活动，倒计时就开始了。大多数辖区给你的是几天，而不是几周。有些交易所延迟申报是因为想收集更多信息，或者因为涉事用户是不想失去的高价值客户。这两个都是糟糕的拖延理由。先提交 SAR，再另行继续调查。向客户泄露 SAR 信息本身在大多数辖区就是刑事犯罪。

6. 记录保存不充分。

为了“节省存储空间”删除旧 KYC 记录，或不记录合规决策，已经终结过一些交易所。存储很便宜。监管罚款不便宜。全部保留，建立索引、可检索，至少存 7 年。

7. 照搬其他交易所的合规政策。

监管机构看得出来。你的 AML 政策必须反映你特定的业务模式、风险偏好、目标市场和运营现实。一份引用了你并不提供的服务或你并不运营的辖区的政策，就是一个危险信号，等于告诉监管者你没把这事当回事。

8. 法规变化后未能及时更新。

MiCA 的要求从初始框架到最终实施条例之间发生过演变。2025 年，多个辖区的旅行规则门槛发生了变化。如果你的合规计划还停留在 2024 年的要求上，你就是不合规的。指定专人跟踪你运营的每个辖区的监管动态。至少每季度审查并更新一次政策。

成本账：合规与不合规

交易所运营者有时会对合规成本望而却步。可以理解——这是真金白银。但不合规的账更难看。难看得多。

做对的成本：

对于一家在 1–2 个辖区运营的中型交易所（月交易量低于 5,000 万美元）：

• KYC 服务商：每月 500–3,000 美元（取决于验证量）
• 区块链分析：每月 1,000–5,000 美元
• 旅行规则方案：每月 500–2,000 美元
• 合规人员：每月 5,000–15,000 美元（兼职 MLRO 或专职雇员）
• 法律顾问年费摊销：每月 2,000–5,000 美元
• 监管报告与申报：每月 1,000–3,000 美元
• 合规软件/平台：如果你的交易所平台内置则包含在内，否则每月 2,000–8,000 美元

合计：大约每月 10,000–40,000 美元。也就是每年 120,000–480,000 美元。

听起来不少。现在看看另一种选择的代价。

被抓住的成本：

• 监管罚款：100,000 到 10,000,000 美元以上（MiCA 允许处以年营业额 12.5% 或 5,000,000 欧元的罚款，取较高者）
• 银行合作关系终止：实际上等于关停法币业务，且可能是永久性的
• 法律辩护费用：视辖区和严重程度 200,000–1,000,000 美元以上
• 强制用户退款：金额不等，但可能是灾难性的
• 声誉损害：无法量化但破坏性巨大——合规丑闻之后用户不会再回来
• 个人责任：在多个辖区，董事可能因合规失职面临刑事指控
• 停业：监管机构可以而且确实会下令立即停止业务

一次执法行动的成本就超过十年的合规支出。这还没算上被强制下线造成的收入损失。

账很清楚。合规不是成本中心——它是保险。昂贵的保险，没错。但远比另一种选择便宜。

如何优化合规成本：

合规支出无法避免，但你可以花得聪明。

选择内置合规工具的交易所软件。Codono 等平台把 KYC/AML 系统、Sumsub 集成和合规仪表盘作为标准功能包含在内。这省去了你从零构建这些集成所需的 50,000–150,000 美元。

先从一个辖区起步再扩张。不要试图同时在所有地方合规。选定你的主市场，在那里把合规做扎实，再以这个基础向更多辖区扩张。

把能自动化的全部自动化。人工合规流程既昂贵又容易出错。投资自动化交易监控、自动化制裁筛查和自动化监管报告。前期投入通过减少人员需求，几个月内就能回本。

前 12–18 个月使用兼职合规服务。月交易量 500 万美元的时候，你不需要全职首席合规官。多家机构提供专门针对加密公司的 MLRO 即服务。随着交易量增长再升级为全职招聘。

与 KYC 服务商谈判。如果你每月验证量超过 1,000 次，你就有议价筹码。大多数服务商会为量承诺提供 20%–40% 的折扣。

未来走向

监管的轨迹是单向的：监督只会更多，不会更少。剩余的不监管地带将在未来 12–24 个月内消失。目前因加密货币监管不足而名列 FATF 灰名单的国家，正面临巨大的立法压力。

对交易所运营者来说，这其实是好消息。清晰的规则创造公平的竞争环境。早期投资合规的交易所，现在正是赢得市场份额的那批——因为用户信任它们，银行愿意与它们合作。而那些试图逃避合规的，要么在手忙脚乱地补课，要么已经关门。

如果你在 2026 年建设或运营一家交易所，合规不是一个勉强打勾的复选框。它是产品的核心组成部分。用户期待它。监管机构要求它。银行合作伙伴坚持要它。做对了，它会变成竞争优势，而不仅仅是成本。

从一开始就做对。未来的你——和你未来的用户——会感谢今天的决定。

---

参考资料与延伸阅读

• FATF 虚拟资产指南——第 15 条建议及解释性说明 —— 金融行动特别工作组
• FATF 虚拟资产服务提供商旅行规则 —— FATF
• MiCA CASP 要求——欧洲银行管理局 —— EBA
• Chainalysis 2025 加密犯罪报告 —— Chainalysis
• OFAC 虚拟货币制裁合规指南 —— 美国财政部

---

需要从第一天起就内置 KYC 吗？Codono 的 KYC 与 AML 合规模块预集成了 Sumsub 和 Shufti Pro——分级验证、活体检测、制裁筛查和旅行规则支持一应俱全。了解其工作方式或预约演示。