רישוי VASP – תיעוד ותשתית טכנית העומדים בביקורת רגולטורית
כמעט 70% מהדחיות לבקשות רישוי לפעילות קריפטו (VASP) נגרמות לא מחוסר מוכנות טכנית אלא מחוסר תיעוד מפורט: מדיניות AML גנרית שאינה קשורה לתהליכים עסקיים, תיאור מעורפל של ניהול מפתחות, והיעדר BCP עם מדדים קונקרטיים. הרגולטורים (FIU, VARA, MAS) מעריכים מוכנות תפעולית – היכולת האמיתית של החברה לעמוד בדרישות. הכנו תשתית ל-15+ פרויקטים באסטוניה, דובאי וסינגפור, ואנחנו יודעים לכסות כל נקודת בדיקה.
כיצד לבחור תחום שיפוט ל-VASP?
בחירת תחום השיפוט היא ההחלטה הראשונה המשפיעה על לוחות הזמנים והמורכבות. לעסקים המכוונים לאיחוד האירופי, המהירות ביותר הן אסטוניה (3–6 חודשים) או ליטא (5–9 חודשים). דובאי VARA (9–18 חודשים) מעניקה גישה לשוק המזרח התיכון אך דורשת הכנה טכנית מפורטת ובדיקות חדירה שנתיות. סינגפור MAS (18–27 חודשים) היא המחמירה ביותר אך גם היוקרתית ביותר. סוג הפעילות קובע את קטגוריית הרישיון: המרת קריפטו-לפיאט דורשת היתר נפרד, קריפטו-לקריפטו דורש אחר, ושירותי שמירה דורשים שלישי. בחירה נכונה חוסכת משאבים משמעותיים על עבודה חוזרת.
אילו דרישות טכניות מטילים הרגולטורים?
רוב הרגולטורים (Estonia FIU, VARA, MAS) דורשים ארבעה מרכיבים מרכזיים:
- ניהול מפתחות – מפתחות שמירה במודול חומרה מאובטח (HSM) או מחשוב רב-צדדי (MPC). פתרונות: Fireblocks MPC, AWS CloudHSM, Thales Luna HSM, או Ledger Enterprise.
- הפרדת נכסי לקוחות – נתיבי HD נפרדים לארנקי לקוחות ולכספים תפעוליים, התאמה יומית.
- תוכנית המשכיות עסקית (BCP) – עם RTO (יעד זמן שחזור) ו-RPO (יעד נקודת שחזור) ספציפיים, ארכיטקטורת failover.
- בדיקות חדירה (עבור VARA ואחרים) – בדיקה שנתית על ידי ספק מוסמך המבוססת על OWASP Top 10, כולל חוזים חכמים ותשתית.
היעדר רישיון עלול לגרום לקנסות משמעותיים וחסימות תפעוליות.
איזה מחסן טכנולוגי אנו משתמשים
מחסן: Solidity 0.8.x, Foundry, Hardhat, ethers.js, viem, Tenderly (ניטור), Slither (ניתוח סטטי). לניהול מפתחות, אנו משתמשים ב-Fireblocks או AWS CloudHSM. התיעוד מוכן מתבניות המותאמות לכל תחום שיפוט.
אחד הפרויקטים שלנו היה הקמת התאמה לרישיון אסטוני. הלקוח היה פלטפורמת DeFi עם ארנקי שמירה. תכננו ארכיטקטורה עם נתיבי HD נפרדים, ניטור אוטומטי של פערים, והתראות Telegram. תוצאה: הבקשה עברה בניסיון הראשון, וחוסכה ללקוח 6 חודשים של עבודה חוזרת.
מקרה נוסף: הכנת תיעוד לרישיון VARA. הלקוח היה בורסת קריפטו עם אגרגציית נזילות. פיתחנו מדיניות AML בת 60 עמודים המתארת נהלי KYC, ניטור עסקאות (Chainalysis), וסינון סנקציות. הרגולטור ביקש הבהרה רק על נקודה אחת – זמן שמירת לוגים.
מה כלול בעבודה
- אנליטיקה ובחירת תחום שיפוט – הערכת המודל העסקי שלך, שווקי יעד ולוחות זמנים.
- הכנת תיעוד – מדיניות AML, מדיניות אבטחת מידע, BCP, תיאור ניטור עסקאות, ניהול מפתחות.
- התקנה טכנית – פריסת HSM/MPC, הגדרת ארנקים מופרדים, התאמה אוטומטית.
- תקשורת עם הרגולטור – מענה לשאלות, מעבר בדיקות.
- תמיכה לאחר קבלת הרישיון – עדכונים שנתיים, בדיקות חדירה, דיווחים.
יש לנו ניסיון של למעלה מ-5 שנים ברישוי VASP והשלמנו בהצלחה 15+ פרויקטים. המהנדסים שלנו נבדקו על ידי רגולטורים ויודעים כיצד להימנע מטעויות נפוצות. קבלו ייעוץ: צרו קשר להערכה ראשונית של הפרויקט שלכם.
לוחות זמנים ועלות
| תחום שיפוט | הכנה | בחינה | סה"כ |
|---|---|---|---|
| Estonia FIU | 1–2 חודשים | 2–4 חודשים | 3–6 חודשים |
| Lithuania FIU | 2–3 חודשים | 3–6 חודשים | 5–9 חודשים |
| Malta MFSA | 3–4 חודשים | 6–12 חודשים | 9–16 חודשים |
| Dubai VARA | 3–6 חודשים | 6–12 חודשים | 9–18 חודשים |
| Singapore MAS | 6–9 חודשים | 12–18 חודשים | 18–27 חודשים |
עלות התמיכה מחושבת באופן פרטני. צרו קשר כדי לדון בפרויקט שלכם ולקבל הערכה ראשונית. אנו מתחייבים לעמוד בלוחות הזמנים אם המסמכים יסופקו בזמן.
השוואת המאמץ הנדרש
| רכיב | אסטוניה | דובאי VARA | סינגפור MAS |
|---|---|---|---|
| ניהול מפתחות | MPC/HSM | HSM חובה | MPC מועדף |
| מדיניות AML | 20–30 עמודים | 40–60 עמודים | 60–80 עמודים |
| בדיקת חדירה | לא חובה | חובה שנתית | חובה |
| עובדים מקומיים | עובד אחד | 2–3 עובדים | >3 עובדים |
להתחלה מהירה, בחרו באסטוניה – היא מהירה פי 3–5 מסינגפור. אם היעד שלכם הוא המזרח התיכון, דובאי VARA מעניקה גישה לשוק עשיר אך דורשת הכנה טכנית מפורטת. צרו קשר – נעזור לכם לבחור את תחום השיפוט האופטימלי.
מקור: ההמלצות הרשמיות של Estonia FIU ו-VARA בנושא רישוי VASP.